如何在 OnBoard™ IoT Security 中配置与发布 SE Profile

提示

仅当 SE Profile 处于草稿状态时，才可进行配置。

本文将指导你如何在 OnBoard IoT Security (OBIS) 中完成以下操作：

• 配置基本信息
• 配置初始档案
• 配置 Post-Provision Profile
• 发布 SE Profile

前提条件

在开始之前，请确保：

• 你已获得 System Manager 或 SE Resource Manager 的 OBIS 角色权限。
• 你已获得对应 SE Profile 的权限。
• 已完成证书和密钥的创建。

配置基本信息

1. 登录 OBIS。

2. 在左侧菜单的核心分类中，点击 SEMS，然后选择对应的 SE Profile 进入 SE Profile 页面。

3. 在 SE Profile 页面的基本信息区域，点击编辑 图标。

   

4. 在编辑基本信息面板，确认 SE Profile 的名称和描述，然后输入对应的芯片标识（芯片厂商，系列和型号）。

   

5. 确认信息无误后，点击保存。

配置初始档案

1. 登录 OBIS。

2. 在左侧菜单的核心分类中，点击 SEMS，然后选择对应的 SE Profile 进入 SE Profile 页面。

配置 ISD

1. 在初始档案区域，点击编辑 图标。

   

2. 在编辑 ISD Config 面板输入并选择相关信息，你也可以选择一键填入默认值。

   

   ISD 配置信息说明：

   信息	说明
   出厂 ISD AID	用于标识 SE 芯片出厂 ISD（Issuer Security Domain，发行方安全域）的 AID（Application Identifier，应用标识符），生命周期内保持不变；默认为 A000000151000000。
   密钥模型	有两种密钥模型可以选择，分别是单主密钥和三主密钥；默认为单主密钥。
   KVN	用于标识当前安全域中用于建立 SCP03 安全通道的密钥版本号；默认为 0x30。
   分散算法	有三种分散算法可以选择，分别是 EMV_CPS，AES_CMAC 和 None；默认为 EMV_CPS。
   密钥引用	选择在 KMS 中创建的密钥。 注释：密钥模型为三主密钥时，需要分别选择 ENC Key，MAC Key 和 DEK Key。

3. 确认信息无误后，点击保存。

配置 SE Content

配置 AMSD

1. 在 SE Content (芯片厂商预置) 子区域，点击 ISD 的选项 图标选择添加 AMSD。

   

2. 在添加 AMSD 面板输入并选择相关信息，你也可以选择一键填入默认值。

   

   AMSD 配置信息说明：

   信息	说明
   名称	AMSD（Application Management Security Domain，应用管理安全域）的名称必须唯一。
   AID	用于标识 AMSD 的 AID（Application Identifier，应用标识符），必须唯一。
   密钥模型	有两种密钥模型可以选择，分别是单主密钥和三主密钥；默认为单主密钥。
   KVN	用于标识当前安全域中用于建立 SCP03 安全通道的密钥版本号；默认为 0x30。
   分散算法	有三种分散算法可以选择，分别是 EMV_CPS，AES_CMAC 和 None；默认为 EMV_CPS。
   密钥引用	选择在 KMS 中创建的密钥。 注释：密钥模型为三主密钥时，需要分别选择 ENC Key，MAC Key 和 DEK Key。

3. 确认信息无误后，点击保存。

配置 SSD

1. 在 SE Content (芯片厂商预置) 子区域，点击 ISD 或对应 AMSD 的选项 图标选择添加 SSD。

   

2. 在添加 SSD 面板输入并选择相关信息，你也可以选择一键填入默认值。

   

   SSD 配置信息说明：

   信息	说明
   名称	SSD（Supplementary Security Domain，补充安全域）的名称必须唯一。
   AID	用于标识 SSD 的 AID（Application Identifier，应用标识符），必须唯一。
   密钥模型	有两种密钥模型可以选择，分别是单主密钥和三主密钥；默认为单主密钥。
   KVN	用于标识当前安全域中用于建立 SCP03 安全通道的密钥版本号；默认为 0x30。
   分散算法	有三种分散算法可以选择，分别是 EMV_CPS，AES_CMAC 和 None；默认为 EMV_CPS。
   密钥引用	选择在 KMS 中创建的密钥。 注释：密钥模型为三主密钥时，需要分别选择 ENC Key，MAC Key 和 DEK Key。

3. 确认信息无误后，点击保存。

配置 CAP

1. 在 SE Content (芯片厂商预置) 子区域，点击 ISD 或对应 AMSD 的选项 图标选择添加 CAP。

   

2. 在添加 CAP 面板输入并选择相关信息。

   

   CAP 配置信息说明：

   信息	说明
   名称	CAP（Card Application Package，卡应用包）的名称必须唯一。
   Package AID	用于标识 CAP 安装包的 AID（Application Identifier，应用标识符），必须唯一。
   版本	用于标识 CAP 的版本信息。
   Applet AIDs	用于标识 CAP 安装包中 Applet 的 AID，必须唯一。

3. 确认信息无误后，点击保存。

配置 Instance

1. 在 SE Content (芯片厂商预置) 子区域，点击 ISD、对应 AMSD 或 SSD 的选项 图标选择添加 Instance。

   

2. 在添加 Instance 面板输入并选择相关信息。

   

   Instance 配置信息说明：

   信息	说明
   名称	Instance 的名称必须唯一。
   安装包 AID	用于标识创建该 Instance 的安装包的 AID（Application Identifier，应用标识符），必须唯一。
   实例 AID	用于标识 Instance 的 AID，必须唯一。
   Applet AID	用于标识创建该 Instance 的 Applet AID，必须唯一。

3. 确认信息无误后，点击保存。

配置 Post-Provision Profile

1. 登录 OBIS。

2. 在左侧菜单的核心分类中，点击 SEMS，然后选择对应的 SE Profile 进入 SE Profile 页面。

配置 ISD

1. 在 Post-Provision Profile 子区域，点击编辑 图标。

   

2. 在编辑 ISD Config 面板输入并选择相关信息，你也可以选择一键填入默认值。

   

   ISD 配置信息说明：

   信息		说明
   一般配置	出厂 ISD AID	用于标识 SE 芯片出厂 ISD（Issuer Security Domain，发行方安全域）的 AID（Application Identifier，应用标识符），生命周期内保持不变；默认为 A000000151000000。
   SCP03 配置	密钥模型	有两种密钥模型可以选择，分别是单主密钥和三主密钥；默认为单主密钥。
   	KVN	用于标识当前安全域中用于建立 SCP03 安全通道的密钥版本号；默认为 0x30。
   	分散算法	有三种分散算法可以选择，分别是 EMV_CPS，AES_CMAC 和 None；默认为 EMV_CPS。
   	密钥引用	选择在 KMS 中创建的密钥。 注释：密钥模型为三主密钥时，需要分别选择 ENC Key，MAC Key 和 DEK Key。
   SCP11c 配置	模式	有两种模式可以选择，分别是 Mode A (on-device generation) 和 Mode B (cloud pre-generation)。
   	SD 签发链 / SD 证书	根据 SD 证书生成模式选择 SD 来源： Mode A 选择 GPCA 中的 CA-KLCC 或 KA-KLOC； Mode B 选择 GPCA 中的 SD 证书。 系统仅展示当前环境下且你拥有创建授权权限的可用对象。
   	SD KVN	用于标识当前安全域中用于建立 SCP11c 安全通道的 SD 密钥版本号。
   	CA-KLOC	选择用于验证 OCE 证书链的 CA-KLOC，系统会将其公钥作为 OCE 信任锚写入 SE。
   	OCE KVN	用于标识当前安全域中用于验证 OCE 证书链的 CA-KLOC 信任锚版本号。

3. 确认信息无误后，点击保存。

配置 SE Content

配置 AMSD

提示

支持在 ISD 下通过拖拽调整 AMSD 节点位置，实现安全域结构及 Java Card 内容下载顺序的灵活调整。

1. 在 SE Content 子区域，点击 ISD 的选项 图标选择添加 AMSD。

   

2. 在添加 AMSD 面板输入并选择相关信息，你也可以选择一键填入默认值。

   

   AMSD 配置信息说明：

   信息		说明
   一般配置	名称	AMSD（Application Management Security Domain，应用管理安全域）的名称必须唯一。
   	AID	用于标识 AMSD 的 AID（Application Identifier，应用标识符），必须唯一。
   	Privilege	用于配置 AMSD 在 SE 中的 GlobalPlatform 管理权限，以 3 字节十六进制表示。
   	系统特定参数	用于配置与 SE 平台或系统实现相关的参数。
   	应用特定参数	用于配置与具体应用或业务需求相关的参数。
   SCP03 配置	密钥模型	有两种密钥模型可以选择，分别是单主密钥和三主密钥；默认为单主密钥。
   	KVN	用于标识当前安全域中用于建立 SCP03 安全通道的密钥版本号；默认为 0x30。
   	分散算法	有三种分散算法可以选择，分别是 EMV_CPS，AES_CMAC 和 None；默认为 EMV_CPS。
   	密钥引用	选择在 KMS 中创建的密钥。 注释：密钥模型为三主密钥时，需要分别选择 ENC Key，MAC Key 和 DEK Key。
   SCP11c 配置	模式	有两种模式可以选择，分别是 Mode A (on-device generation) 和 Mode B (cloud pre-generation)。
   	SD 签发链 / SD 证书	根据 SD 证书生成模式选择 SD 来源： Mode A 选择 GPCA 中的 CA-KLCC 或 KA-KLOC； Mode B 选择 GPCA 中的 SD 证书。 系统仅展示当前环境下且你拥有创建授权权限的可用对象。
   	SD KVN	用于标识当前安全域中用于建立 SCP11c 安全通道的 SD 密钥版本号。
   	CA-KLOC	选择用于验证 OCE 证书链的 CA-KLOC，系统会将其公钥作为 OCE 信任锚写入 SE。
   	OCE KVN	用于标识当前安全域中用于验证 OCE 证书链的 CA-KLOC 信任锚版本号。

3. 确认信息无误后，点击保存。

配置 SSD

提示

支持在 ISD 或 AMSD 下通过拖拽调整 SSD 节点位置，并支持跨 AMSD 移动，实现安全域结构及 Java Card 内容下载顺序的灵活调整。

1. 在 SE Content 子区域，点击 ISD 或对应 AMSD 的选项 图标选择添加 SSD。

   

2. 在添加 SSD 面板输入并选择相关信息，你也可以选择一键填入默认值。

   

   SSD 配置信息说明：

   信息		说明
   一般配置	名称	SSD（Supplementary Security Domain，补充安全域）的名称必须唯一。
   	AID	用于标识 SSD 的 AID（Application Identifier，应用标识符），必须唯一。
   	Privilege	用于配置 SSD 在 SE 中的 GlobalPlatform 管理权限，以 3 字节十六进制表示。
   	系统特定参数	用于配置与 SE 平台或系统实现相关的参数。
   	应用特定参数	用于配置与具体应用或业务需求相关的参数。
   SCP03 配置	密钥模型	有两种密钥模型可以选择，分别是单主密钥和三主密钥；默认为单主密钥。
   	KVN	用于标识当前安全域中用于建立 SCP03 安全通道的密钥版本号；默认为 0x30。
   	分散算法	有三种分散算法可以选择，分别是 EMV_CPS，AES_CMAC 和 None；默认为 EMV_CPS。
   	密钥引用	选择在 KMS 中创建的密钥。 注释：密钥模型为三主密钥时，需要分别选择 ENC Key，MAC Key 和 DEK Key。
   SCP11c 配置	模式	有两种模式可以选择，分别是 Mode A (on-device generation) 和 Mode B (cloud pre-generation)。
   	SD 签发链 / SD 证书	根据 SD 证书生成模式选择 SD 来源： Mode A 选择 GPCA 中的 CA-KLCC 或 KA-KLOC； Mode B 选择 GPCA 中的 SD 证书。 系统仅展示当前环境下且你拥有创建授权权限的可用对象。
   	SD KVN	用于标识当前安全域中用于建立 SCP11c 安全通道的 SD 密钥版本号。
   	CA-KLOC	选择用于验证 OCE 证书链的 CA-KLOC，系统会将其公钥作为 OCE 信任锚写入 SE。
   	OCE KVN	用于标识当前安全域中用于验证 OCE 证书链的 CA-KLOC 信任锚版本号。

3. 确认信息无误后，点击保存。

配置 CAP

提示

支持在 ISD 或 AMSD 下通过拖拽调整 CAP 节点位置，并支持跨 AMSD 移动，实现 Java Card 内容下载顺序的灵活调整。

1. 在 SE Content 子区域，点击 ISD 或对应 AMSD 的选项 图标选择添加 CAP。

   

2. 在添加 CAP 面板输入并选择相关信息。

   

   CAP 配置信息说明：

   信息	说明
   名称	CAP（Card Application Package，卡应用包）的名称必须唯一。
   Package AID	根据文件自动解析，用于标识 CAP 安装包的 AID（Application Identifier，应用标识符），必须唯一。
   版本	用于标识 CAP 的版本信息。
   Applet AIDs	根据文件自动解析，用于标识 CAP 安装包中 Applet 的 AID，必须唯一。
   CAP 文件	点击添加 图标，选择并上传格式为 .cap 的 CAP 文件，或者直接拖曳 CAP 文件到上传区域。

3. 确认信息无误后，点击保存。

配置 Instance

提示

支持在 ISD、AMSD 或 SSD 下通过拖拽调整 Instance 节点位置，并支持跨 AMSD 或 SSD 移动，实现 Java Card 内容下载顺序的灵活调整。

1. 在 SE Content 子区域，点击 ISD、对应 AMSD 或 SSD 的选项 图标选择添加 Instance。

   

2. 在添加 Instance 面板输入并选择相关信息。

   

   Instance 配置信息说明：

   信息	说明
   名称	Instance 的名称必须唯一。
   安装包 AID	用于标识创建该 Instance 的安装包 AID（Application Identifier，应用标识符），必须唯一。
   Applet AID	选择 CAP 中的 Applet AID，用于指定创建该 Instance 的 Applet。
   实例 AID	用于标识 Instance 的 AID，必须唯一。
   安装参数	填写创建 Instance 时传递给 Applet 的安装参数。

3. 确认信息无误后，点击保存。

发布 SE Profile

提示

仅当 SE Profile 处于草稿状态且你具有发布权限时，才可进行发布。

发布后，SE Profile 将永久冻结，所有字段均不可再编辑。

1. 登录 OBIS。

2. 在左侧菜单的核心分类中，点击 SEMS，然后选择对应的 SE Profile 进入 SE Profile 页面。

3. 确认以下条件均已满足后，点击操作并选择发布。

   

   • 初始档案和 Post-Provision Profile 的 ISD 均已完成配置
   • 所有节点引用的密钥与 GPCA 对象均处于正常状态
   • 所有安全域的 SCP（SCP03 或 SCP11c）均已完成配置

4. 在确认发布窗口，点击确认发布，即可完成 SE Profile 的发布。