测试环境搭建（硬件/软件）
说到KMS与国密算法的集成测试，环境搭建是第一步。这一步要是没弄对，后面跑出什么奇怪的结果你都不知道。
我记得刚做第一个国密项目时，环境搭了两天，结果SM4加解密一直对不上。最后发现是密码机驱动版本不匹配。嗯，从那以后我再也不敢轻视环境准备工作。
下面我把这次课程需要的测试环境拆成三个部分来讲：硬件、软件、以及关键的配置检查点。
硬件环境要求
说白了，硬件层就是三样东西：服务器、密码机、网络。
| 组件 | 推荐配置 | 说明 |
|---|---|---|
| KMS节点服务器 | 2核4G以上，50GB磁盘 | 用于部署KMS服务端 |
| 密码机（HSM） | 支持国密SM2/3/4的型号 | 我常见的有江南天安、三未信安等 |
| 网络 | 千兆以太网，延迟<1ms | 密码机一般通过PCIe或网络连接 |
| 客户端测试机 | 1核2G，安装Linux/Windows均可 | 用于跑测试脚本 |
如果你只用软件模拟（比如GMSSL + 软HSM），那硬件可以省掉。但真实项目里还是建议搭一台物理密码机，不然很多低级错误测不出来。
我个人习惯在实验室里准备两台机器：一台装KMS服务端，一台做客户端。密码机通过USB或网络挂到服务端上。你想想看，隔离得越干净，后续问题定位就越快。
软件环境配置
软件层稍微复杂一点。我把它列成一张安装清单，你照着来就行。
操作系统
- 我用的是CentOS 7.9（内核3.10以上），Ubuntu 20.04也完全OK。
- 记得关掉SELinux，不然国密API调用经常被拦截。我曾经被这个坑过一整个下午。
- 防火墙开放端口：KMS默认监听443（HTTPS）和8080（管理和测试端口）。
依赖库
- OpenSSL 1.1.1（或以上）—— 用于基础TLS，国密生态很多工具依赖它。
- GMSSL（推荐v2.0）—— 国密算法核心库。这个务必从官方仓库编译安装，别用apt源里的老版本。
- libp11 / engine_pkcs11 —— 连接密码机的PKCS#11接口。
KMS软件
- 我们选择HashiCorp Vault（v1.12+）或自有KMS产品。本课程用Vault演示。
- 安装方式：下载二进制或通过Docker。我建议用二进制，后续改配置方便。
- 国密封装插件：Vault需要加载
vault-plugin-secrets-gmsm插件，用于支持SM2/SM4操作。
关键命令示例（Vault启动并加载国密插件）：
# 下载插件
wget https://releases.hashicorp.com/vault-plugin-secrets-gmsm/1.0.0/vault-plugin-secrets-gmsm_linux_amd64.zip
unzip vault-plugin-secrets-gmsm_linux_amd64.zip -d /etc/vault/plugins/
# 在Vault配置文件中加入插件路径
echo 'plugin_directory = "/etc/vault/plugins"' >> config.hcl
# 启动Vault
vault server -config=config.hcl &关键组件安装验证
环境装完之后，千万别急着写代码。先做几个快速验证。
GMSSL验证
# 测试SM4加密
echo -n "hello" | gmssl sms4 -encrypt -key 0123456789abcdef0123456789abcdef -iv 0123456789abcdef > ciphertext.bin
# 解密
gmssl sms4 -decrypt -key 0123456789abcdef0123456789abcdef -iv 0123456789abcdef -in ciphertext.bin如果能还原出"hello"，说明GMSSL工作正常。我遇到新手经常在IV或KEY长度上出错，多检查一遍。
密码机对接验证
用pkcs11-tool（来自opensc包）测试密码机连接：
pkcs11-tool --module /usr/lib/libhsm.so --list-slots能看到槽位信息就成功了。如果报错，先检查驱动路径和权限。
环境检查清单
我总结了一份清单，你每次开始测试前对照着过一遍，能省很多调试时间。
- 网络连通性：客户端与KMS服务器之间ping通；KMS服务器与密码机之间通信正常。
- 端口监听：
netstat -tlnp | grep 8200（Vault默认端口） - 国密算法可用性：用Vault的API创建SM2密钥对试试。
- 日志配置：Vault开启debug日志：
export VAULT_LOG_LEVEL=debug
千万别在生产环境跑这步测试！我们实验室环境全是隔离的内网，而且密码机是专用的。如果密码机暴露在公网，密钥材料分分钟被撸走。
为了让你对整个环境结构有个直观印象，我画了一张架构图。你看一眼就知道所有组件是怎么串联的。
这张图里最左边的测试客户端发起请求，中间的KMS服务端负责策略控制和日志审计，右边的密码机真正执行国密运算。说白了，密码机就是金库，KMS是管理员，客户端是取钱的人。角色清晰，问题就好定位。
好，环境搭完了，下一步就可以开始写测试用例了。不过在那之前，建议你先跑一遍我上面写的验证命令，确认每个组件都在线。