对外依赖

远程证明

1. KDCL依赖远程证明进行可信环境度量，请参考部署文档部署远程证明。

   用户需要保证定时挑战任务已开启。在/etc/attestation_agent/agent_config.yaml的schedulers自行配置定时任务的触发时间，具体配置详情请见配置文档。

2. 使能镜像封印密钥。

   KDCL使用image key组件，获取基于鲲鹏硬件派生的密钥，用于保护业务私密数据。

   image key使用说明请参见此篇。

3. NTP服务配置。

   KDCL可信时间业务依赖NTP服务时间源，管理员需先对kdc_agent所部署的CVM配置NTP时钟同步。配置步骤如下。

   1. 安装并启用chrony。

      sudo dnf install -y chrony

   2. 修改配置文件。编辑/etc/chrony.conf，把默认server改成可用的公网源，例如：

      server 0.cn.pool.ntp.org iburst
      server 1.cn.pool.ntp.org iburst

   3. 启动chronyd服务。

      systemctl start chronyd
      systemctl enable chronyd  # 设置开机自启

   4. 关闭系统默认的NTP同步。

      timedatectl set-ntp no  # 避免与chronyd冲突

   5. 检查同步状态。

      timedatectl status
      chronyc sources -v
      chronyc tracking
      #看到 System clock synchronized: yes或chrony里有*的上游源，说明正在正常对时。