第2章：HSM硬件安装与初始化
HSM 不是一台普通服务器。它更像个保险柜——里面装着密钥，外面包着防拆壳。我第一次见到实物时，觉得它比想象中重得多。嗯，物理安装这一步，弄不好会出大麻烦。
2.1 物理安装——别让硬件成为瓶颈
先看机箱。常见 HSM 有 1U、2U 或 PCIe 插卡式。不管哪种，安装前一定要先看说明书。我刚入行时，有一次把一台 2U 设备装反了，风扇朝着机柜后门吹，结果散热出问题。从那以后，我养成了一个习惯：先确认进风和出风方向。
安装步骤其实很简单：
- 固定导轨——把导轨安装在机柜立柱上，注意水平。
- 推入机箱——两人配合，对准导轨槽，缓慢推入。
- 锁紧面板——用螺丝固定前面板，避免晃动。
- 连接电源——建议用双电源冗余，分别接不同 PDU。
- 接地——HSM 的接地端子必须接，否则静电可能损毁安全芯片。
2.2 网络配置——管理口与业务口要分开
多数 HSM 有多个网络接口。我建议把管理口和业务口分在不同的 VLAN 里。为什么？因为管理流量一旦被攻击，整个密钥库都可能暴露。你想想看，管理网段如果和业务网段混在一起，攻击者就可能渗透到管理后台。
网络参数表如下：
| 接口类型 | 用途 | 推荐 IP 段 | 注意事项 |
|---|---|---|---|
| 管理口 (MGMT) | HSM 管理、CLI、Web UI | 192.168.1.0/24 | 仅允许管理后台访问 |
| 业务口 (ETH0/1) | 加密服务请求、API 通信 | 10.10.1.0/24 | 须与业务服务器连通 |
| 心跳口 (HA) | 高可用集群心跳 | 172.16.1.0/24 | 直连或专用交换机 |
配置时，通常通过串口或 USB 连接进入初始 CLI。我记得第一次配置时，发现默认的 IP 是 192.168.0.1，和我的笔记本不在同一网段。折腾了半天才意识到要先用串口改地址。这就是为什么我总提醒大家：先准备好 console 线。
# 示例：通过 SSH 登录 HSM 管理口（前提是 IP 已配置）
ssh admin@192.168.1.100
# 默认密码通常写在机箱标签上，或者初始文档里
2.3 初始化过程——从裸设备到可服务状态
初始化是整个环节中最容易出错的。说白了，HSM 出厂时就是个空壳，里面没有密钥，没有安全策略。你必须通过一系列操作把它“激活”。
下面这张图概括了初始化流程：
2.4 初始化细节——手把手带你过一遍
第一步：物理上电与自检
接好电源和串口线后，按前面板电源键。HSM 会运行 POST（上电自检），指示灯依次闪烁。如果某个灯常亮红色，说明有问题。我遇到过一台设备因为运输震动导致内存松动，自检失败。拆开重新插拔，问题解决（当然，前提是没触发防拆开关）。
第二步：登录并改密码
通过串口软件（如 PuTTY，波特率 115200）连接到 HSM。默认账号通常是 admin，密码印在机箱标签上。第一次登录会强制你改密码。我建议密码长度不低于 16 位，包含大小写和特殊字符。
# 登录后的初始配置示例（基于某常见 HSM 的 CLI）
hsm> enable
hsm# configure terminal
hsm(config)# password admin new-password MyStr0ng!Pass
hsm(config)# security-policy min-password-length 16
hsm(config)# security-policy login-attempts 3
第三步：生成主密钥（Master Key）
这是初始化最核心的一步。主密钥是所有加密服务的根。一旦生成，会被保存在 HSM 的防篡改区域。你需要创建至少两份密钥备份文件，分别存放在不同物理地点。
生成主密钥的常见命令：
hsm(config)# crypto master-key generate
# 系统会提示你设置密钥保护密码
Enter master key protection password: ******
Confirm password: ******
# 生成后，立刻备份
hsm(config)# crypto master-key backup tftp://192.168.1.10/backup/mk.bin
嗯，这里要注意：备份文件本身是加密的，但依然需要安全保管。我见过有人把备份明文存在共享目录里，那等于把钥匙放在门垫下面。
2.5 初始化后的验证清单
完成上述步骤后，别急着投入使用。花 15 分钟做一次完整性验证：
- 检查服务状态：HSM 的加密服务是否自动启动？
- 确认网络可达：从业务服务器 ping 管理口 IP，确保通。
- 测试 API 响应：用客户端工具发一个简单的加密请求（如生成随机数）。
- 验证日志：查看 /var/log/hsm/ 下是否有错误记录。
- 备份恢复演练：如果条件允许，把刚刚备份的主密钥恢复到一台测试 HSM 上，确认可用。