部署环境准备：操作系统、网络规划、依赖组件安装

好了，到了真正动手的环节了。我见过不少项目，方案设计得漂漂亮亮，结果在部署环境上栽了跟头——要么选错了操作系统版本，要么网络策略没提前规划好，最后调试排错花的时间比写代码还多。说白了，环境准备是地基，地基不稳，上面盖的楼再好看也得塌。

4.1 操作系统选型与调优

企业级KMS通常跑在Linux上，Windows Server不是不行，但社区驱动和安全审计工具（比如sysmon、auditd）的支持差一截。我个人习惯首选RHEL 8/9或其社区版Rocky Linux 8/9，主要原因有三：

• 内核稳定：KMS对时间敏感，硬件安全模块（HSM）驱动需要长期支持的LTS内核。
• SELinux 原生支持：KMS密钥文件一旦被非授权进程读取，乐子就大了。SELinux Enforcing模式是标配。
• 官方软件仓库：OpenSSL、Java（如果KMS依赖）、PKCS#11库都能直接从AppStream装，省去编译麻烦。

安装完成后，立刻做这几项内核调优：

1. 关闭NUMA balancing：KMS的密钥运算会密集占用CPU，NUMA自动迁移反而造成延迟抖动。
2. 增大shmmax/shmall：如果使用共享内存做密钥缓存，默认值太小会报错。
3. 调整file-max：KMS要维护大量TLS连接和审计日志文件句柄。

# 在 /etc/sysctl.d/99-kms.conf 中添加
vm.numa_balancing = 0
kernel.shmmax = 68719476736
kernel.shmall = 4194304
fs.file-max = 1000000

# 立即生效
sysctl --system

4.2 网络规划：该开什么口子，不该开什么口子

网络规划是环境准备里最容易出坑的地方。你想象一下：KMS要是暴露在公网上，黑客拿到一个API端口就能暴力破解密钥源……所以我们默认把KMS放在管理网段，和业务网段用防火墙隔开。

我一般按这张表来规划防火墙规则：

还有一个容易忽略的点：DNS解析和NTP同步。KMS集群之间的时间偏差超过500ms，HMAC校验就会失败。我建议在同一网段内部署独立的NTP服务器，并且把KMS服务器的chronyd配置成只从这个内网NTP同步，不外部联网。

4.3 依赖组件安装

KMS本身不依赖太多重量级组件，但以下这些是硬性需求，缺一不可。

4.3.1 Java 运行时（如果KMS基于Java）

大多数商业KMS（如HashiCorp Vault、AWS CloudHSM客户端）都要求Java 17 LTS以上。装OpenJDK就够，别碰Oracle JDK——许可证太坑。

yum install java-17-openjdk-headless -y
java -version

4.3.2 数据库（KMIP后端存储选择）

小型部署可以用SQLite，企业级必须上PostgreSQL或MySQL 8.0。我习惯用PostgreSQL 15以上，因为它的pgcrypto扩展能辅助密钥的加密存储。安装时注意打开ssl=on并配置客户端证书认证。

4.3.3 PKCS#11 / HSM客户端库

如果要用硬件安全模块（HSM），需要安装供应商提供的PKCS#11驱动。比如Luna HSM的Chrystoki包，或者Thales的SafeNet客户端。装完以后必须验证pkcs11-tool -L能列出槽位。

# 以Luna HSM为例
rpm -ivh lunaclient-7.8.0-1.x86_64.rpm
# 启动客户端守护进程
service lunaclient start
# 验证连接
pkcs11-tool --module /usr/lib/libcryptoki.so -L

4.4 体系结构总览

下面这张图总结了本章涉及的三个层次——操作系统、网络、依赖组件——以及它们之间的关系。你可以把它当作环境检查清单的视觉映射。

4.5 环境验证清单

装完所有组件后，别急着启动KMS。先跑一遍快速验证脚本，我通常会把这些命令写进一个check_env.sh，方便重复执行。

#!/bin/bash
echo "===== 操作系统检查 ====="
uname -a
cat /etc/redhat-release
sysctl vm.numa_balancing

echo "===== SELinux 状态 ====="
getenforce  # 必须显示 Enforcing

echo "===== 网络端口监听 ====="
ss -tlnp | grep -E '8443|2222|3306|9090'

echo "===== NTP 同步状态 ====="
chronyc tracking | grep -i "stratum"

echo "===== Java 版本 ====="
java -version

echo "===== 数据库连接 ====="
psql -h localhost -U kms_user -d kms_db -c "SELECT 1 + 1;"