第4章 HSM初始化与配置
4.1 初始化之前——你得先摸清这台设备
HSM刚拆箱的时候，说白了就是一台硬邦邦的铁盒子。我第一次拿到Thales Luna HSM，还以为接上电就能干活……嗯，结果它连IP都没有，屏幕上一个字也不显示。
你得先搞清楚几个前提：
- 物理接口：HSM一般有管理口（RJ45）、业务口，有的还带串口。我习惯先用串口连上去做初始配置，这样就不怕网络没配好就把自己锁在外面。
- 默认凭据：厂商出厂会贴一个标签，上面有默认的用户名、PIN、序列号。这些东西一定要拍照存好，放保险柜里——我见过有人把标签贴机器屁股上，结果被清洁工当垃圾扔了。
- 固件版本：开机后先检查当前固件，别急着往上冲。我曾经遇到过一台HSM，出厂固件有个安全漏洞，CVE都公布了，但没人升级——你想想，初始化的第一步就是打补丁。
小建议：初始化之前，先准备一台独立的管理主机，装上HSM厂商的客户端软件（比如Luna Client或IBM Crypto Client）。这台主机要物理隔离，不要连互联网，避免中途被扫描。
4.2 物理安装与通电——别小看这一步
HSM对环境和供电很挑剔。我见过一家公司把HSM放在机柜最顶层，散热口朝下，结果跑压力测试时温度直接飙到70°C，然后自动关机。所以请记住：
- 机架安装必须留足上下通风空间，至少1U空余。
- 供电要用双路UPS，而且最好接两个不同的PDU——我曾经因为一根PDU跳闸，导致HSM重启，生产业务中断30分钟，被领导点名批评。
- 上电后注意观察前面板指示灯：电源灯常亮、故障灯不亮、网络口link灯闪烁才是正常状态。
4.3 网络配置——从哑设备变成可管理节点
HSM不上网就是一块砖。配置网络通常有两种途径：串口或前面板LCD菜单。我个人更喜欢用串口，因为稳定，不怕键盘映射乱掉。
以Thales Luna HSM 7为例，配置流程大致这样：
- 用串口线连上管理主机的COM口，波特率115200，8N1无奇偶校验。
- 登录CLI，默认用户名
admin，密码在标签上。 - 执行命令
network configure，按提示设置静态IP、子网掩码、网关。 - 配置DNS和NTP——这个很容易漏掉。我最初觉得NTP无所谓，结果日志时间戳全乱掉，排障时对不上事件顺序，太坑了。
- 启用SSH服务：
service ssh enable，然后重启网络服务。
配置完记得用ping测一下管理主机到HSM的连通性。如果ping不通，检查交换机端口是否开启了802.1X或端口安全——我有一次就是因为交换机端口没改access模式，搞了大半天才发现。
⚠️ 重要：千万不要把HSM的管理口直接暴露在办公网里。应该单独划一个管理VLAN，只允许白名单IP访问。我曾经见过某客户把HSM放在DMZ里，结果被扫描到SSH端口，天天被暴力破解，直到我们加了ACL才消停。
4.4 管理员PIN设置——这里是安全的第一道锁
HSM的PIN（个人识别码）不是普通密码。它是用来解锁HSM自身密钥存储的，一旦忘记，整个设备上的密钥全部作废。我做过三年运维，接手过一台HSM，前任留下的PIN写在便利贴上粘在显示器边框上。便利贴掉了，HSM就变成废铁——最后只能返厂重置，数据全丢。
设置规则一定要严格：
- 长度至少12位，混合大写字母、小写字母、数字和特殊字符。
- 不能包含生日、电话、公司名等容易猜的字符。
- 第一次设置时，HSM会要求你输入两次确认。
- 最好使用密码管理器生成并保管，再打印一份封存到纸质档案里。
实际操作中，很多HSM支持多角色PIN：
| 角色 | 权限范围 | PIN长度要求 |
|---|---|---|
| 安全官（SO） | 初始化、用户管理、策略配置 | 至少12位 |
| 操作员（Operator） | 日常密钥生成、签名、加解密 | 至少8位 |
| 审计员（Auditor） | 日志查看、审计报告 | 至少8位 |
我习惯让安全官PIN由两个人分段保管：一人拿前6位，一人拿后6位，用的时候必须两人同时到场。这虽然麻烦点，但能防止单点突破。
避坑指南：我曾经遇到一个客户，设置PIN后没有做备份（没有记在纸质表里），结果三个月后SO离职，PIN随人走了。最后我们只能远程手动清空HSM（需要物理访问Key），重新初始化。白白损失了所有密钥。所以——PIN必须多重备份，物理隔离存放。
4.5 安全策略配置——别让HSM裸奔
初始化完成的HSM默认策略比较松，你得手动收紧。主要配置项包括：
- 登录失败锁定：连续错误5次后锁定30分钟，防止暴力破解。
- 会话超时：空闲10分钟自动退出CLI或Web面板。
- 密钥导出限制：设置为
never，除非业务明确需要集群同步。 - 日志记录：必须开启详细审计日志，并配置远程syslog服务器。我当时在一个高安全项目里，HSM日志还要每天自动导出到SIEM系统。
- 禁用不必要的服务：比如HTTP、SNMP、Telnet。只保留SSH和HTTPS（如果必须用）。
4.6 验证初始化是否成功
配置完成后，我会跑一个完整的自检流程：
- 重启HSM，观察启动日志是否有Error或FATAL级别信息。
- 用管理员PIN登录CLI，执行
hsm status，确认HSM状态为Ready。 - 生成一个测试密钥对（RSA 2048位），然后签名一条消息，再用公钥验证。
- 检查日志是否正常记录。
- 执行
show network确认IP、网关、DNS正确。
都过了？恭喜，初始化完成。
4.7 初始化核心流程图
下面这张图把HSM初始化流程串了起来，你跟着走就不会乱。
走到最后一步验证通过，你的HSM才算真正初始化完成，可以投入生产使用了。不过别急着放松——后面还有密钥分区、应用集成、灾难恢复等一系列活儿等着你。嗯，慢慢来，一步一个脚印，安全没有捷径。