创建证书签发工程

应用开发安全计算应用中，支持创建证书签发工程，包含CA、TA应用程序并基于TEE实现证书签发服务。用户可以提交CSR（Certificate Signing Request，证书签名请求文件），PKI（Public Key Infrastructure，公钥基础设施）服务收到信息后，将CSR传入TEE，并根据CSR的信息生成（或签发）证书。

TA工程主要保存默认的用户认证信息，对用户名密码进行校验，接收CA的新建根证书和签发证书的命令，调用OpenSSL接口新建和签发根证书，调用TEE的安全存储接口对根证书和私钥进行存储。

CA工程最终编译成独立的可执行程序。

操作步骤

单击左侧树快捷功能区按钮，或者单击应用开发区域右侧的按钮，打开“鲲鹏应用工程”页面，如图1所示。
图1 鲲鹏应用工程
单击“安全计算应用”，打开“安全计算应用”页面，如图2所示。
图2 安全计算应用
单击“TEE GP应用”，打开“TEE GP应用”页面，在左侧工程类别中选择模板工程，然后选择“证书签发”，并进行其他参数配置。
图3 创建证书签发工程
单击“下一步”，选择是否配置目标节点，配置时需要输入目标节点的IP地址、SSH端口、用户名、密码和存放目录；选择不配置目标节点将默认暂不部署SDK。如图4所示。
图4 配置目标节点

用户在配置目标节点时，必须注意，需是运行在物理机上，ARM架构下的openEuler 20.03 LTS SP1、UOS 20 SP1或CentOS 7.6操作系统，并且拥有管理员权限的目标节点。

选择是否在创建工程时同时部署SDK，选择“是”在部署时可选择不同的部署方式，比如在线部署、离线部署如图5所示。参数配置完成后，单击“创建工程”，创建证书签发工程。

图5 部署SDK

表1 TEE GP应用工程配置参数说明
参数	说明
工程类别	工程类别可选：模板工程 CA工程 TA工程 RSA工程机密数据保存匿名投票证书签发空工程说明： CA工程运行在REE侧环境下，TA工程运行在TEE侧环境下，RSA工程基于CA、TA工程进行安全通信。机密数据保存工程包含CA、TA工程，使用TEE安全存储接口保存机密数据。匿名投票工程包含CA、TA工程，基于RSA和AES加密。证书签发工程包含CA、TA工程，基于RSA、SM2算法进行证书签发。使用依赖：确保已安装kunpeng-sc（机密数据保存工程、匿名投票工程还需确保安装 kunpeng-sc-devel，证书签发工程还需确保安装机密计算SDK和kunpeng-sc-devel。）确保tzdriver正常加载，执行lsmod \| grep tzdriver 确保守护进程正常启动，执行ps -ef\| grep teecd
工程名称	默认生成一个工程名称。格式为“xxx_ProjectN”，可修改。创建工程的名称。说明： N为递增的数字，从1开始。工程名称只能由字母、数字、“.”、“-”、“+”、“()”和“_”组成，长度为1~64个字符且不能以“.”开头。
工程位置	默认生成一个工程位置，格式为“C:\Users\username\KunpengProject”，可修改。创建工程的存储路径。
（可选）签名私钥	导入签名私钥文件
（可选）Config二进制	导入Config二进制文件
是否配置目标节点	选择“是”配置目标节点。选择“否”不配置目标节点。
IP地址	允许进行操作的目标节点IP。
SSH端口	目标节点的SSH端口号
用户名	允许进行操作的目标节点账户
密码	目标节点用户名密码。
存放目录	目标节点存放目录说明：工具会读写存放目录下的内容，避免造成用户内容丢失，建议使用空目录。
创建工程时同时部署SDK	选择“是”部署SDK。选择“否”不部署SDK。
部署SDK	选择SDK部署方式。在线部署 kunpeng-sc kunpeng-sc-devel 离线部署 kunpeng-sc kunpeng-sc-devel 说明：选择在线部署方式，服务器必须能连接外网，若隔离网络环境下就需要通过代理方式访问外网，具体请参照配置代理。选择离线部署方式，将从本地导入SDK，可前往下载地址去下载SDK到本地并上传。

证书签发工程创建成功后，单击“打开工程”，可直接在本窗口打开工程。
图6 打开证书签发工程

图7 查看证书签发工程
创建成功后的工程可使用编译调试工具进行编译调试。详细参考工程文件夹中的README文件。
图8 cert-assign_README

编译完成后需参考“运行安全计算应用工程指导”，将编译生成的文件拷贝至指定目录。

父主题： TEE GP应用