SunPKCS11経由のHSMはコマンドラインで動作し、TomcatでホストされたWebアプリケーションでは失敗する

Question

JDK 1.8.0_111をランタイムに使用するアプリケーションをTomcat 9で実行しています.Windows 7 x64ではSunPKCS11を通してNitroKey HSMを使用しようとしています。 CSPおよびOpenSCドライバを使用します。

これは、Tomcatサービスが使用するのと同じアカウントで実行されているシェルを含む、コマンドラインから正常に動作します。

ただし、Tomcatの場合、SunPKCS11コンストラクタは "Initialization failed"というメッセージとともにProviderExceptionをスローします。これまで私はCKR_GENERAL_ERRORを返すC_GetSlotInfoにこれをデバッグしました。これはPKCS11Exception（詳細はありません）になり、ProviderExceptionでラップされます。

スロット番号が正しい - NitroKeyには1つのスロットしかないため、番号は0です。アプリケーション自体のほかに、keytool、OpenSSLなどでHSMをPKCS＃11から使用しても問題はありません。 （または、CAPIを通して）それはTomcatの下でのみ失敗します。

アイデア？ HSM（またはスマートカード）が削除されて再挿入された場合（たとえばremove and insert smartcard using sunpkcs#11 and tomcatなどを参照）、この種の障害に関するクエリを投稿した人もいますが、ここには該当しません。トークンは削除されず、他のすべてのものにアクセス可能なままです。しかし、これらの質問は、Tomcatの下でSunPKCS11とOpenSCを使用することに固有の制限はないことを暗示しています。

私はJDKのソースを取得し、さらにC_GetSlotInfoにデバッグし、適切なオプションを指定してkeytoolを起動するなどのいくつかの他の実験を試みて、カードと通話できるかどうかを調べます。しかし、誰かが他の提案があれば、私はそれらを聞いてうれしいです。

誰でも詳細を知りたい場合：私はSunPKCS11コンストラクタを1つの引数、つまり設定ファイルへのパスで起動します。ファイルを正常に読み込んでいます（ファイルパスが偽であるか、ファイルが読めない場合は別の例外があります）。ファイルは非常に簡単です：障害が発生した時点で

# PKCS#11 configuration file for Java to use NitroKey in slot 0 on Windows 
name = NitroKey 
library = c:/Windows/System32/opensc-pkcs11.dll 
slotListIndex = 0 

、SunPKCS11は、キーコンテナ名またはHSM PINなど、まだ他の詳細を見ていません。コンストラクタが例外をスローしなかった場合、後でそれらが来るでしょう。

Answer 1

Microsoft IISアプリケーションサーバーの私を含む一部のユーザーencountered similar problem。ユーザーアカウントをLocalSystemまたはLocalServiceに変更すると、通常は問題を解決するのに役立ちました。