关于多Docker容器共享单YubiHSM 2设备的技术咨询

环境与需求 #

• 主机：Ubuntu/MacOS
• 运行环境：2个及以上Ubuntu Docker容器
• 硬件：YubiHSM 2通过USB连接至主机
• 需求：各容器内进程独立执行加密操作并使用YubiHSM

问题解答 #

1. 多个Docker容器能否同时使用单台YubiHSM？ #

可以。YubiHSM 2本身支持多会话并发访问，默认最多允许16个并发会话。只要主机上的yubihsm-connector守护进程配置正确并共享给容器，多个容器就能同时通过连接该守护进程调用YubiHSM的加密功能，超出会话上限的请求会自动排队处理。

2. 多个Docker容器能否非同时使用单台YubiHSM？ #

完全可以。这种场景下无需额外并发处理逻辑，容器可按需连接YubiHSM完成操作，操作结束后断开连接，其他容器可随时接入使用，只要主机的YubiHSM连接配置正常即可。

3. 实现上述任一场景是否需要同步机制？ #

分两种情况判断：

• 非同时使用场景：不需要额外同步机制，YubiHSM自身会处理单会话的请求顺序，容器按需使用即可。
• 同时使用场景：
  • 若仅执行只读/加密签名类操作（如验证签名、加密数据），YubiHSM的守护进程和设备本身会处理会话隔离，无需额外同步。
  • 若涉及共享密钥的并发修改操作（如密钥生成、销毁、权限变更），则需要在应用层实现同步逻辑（如分布式锁），避免冲突。

4. YubiCo能否提供最小可复现示例以演示上述需求？ #

YubiCo官方未提供现成的多容器示例，但可基于官方工具快速搭建验证环境：

1. 主机配置yubihsm-connector

   # Ubuntu
   sudo apt update && sudo apt install -y yubihsm-connector
   sudo systemctl start yubihsm-connector
   # MacOS（Homebrew）
   brew install yubihsm-connector
   brew services start yubihsm-connector
   

2. 构建测试Docker镜像
   创建Dockerfile：

   FROM ubuntu:latest
   RUN apt update && apt install -y yubihsm-shell
   CMD ["bash"]
   

   构建镜像：

   docker build -t yubihsm-test .
   

3. 启动多容器并测试
   启动两个容器（通过端口映射共享主机的YubiHSM连接器端口）：

   docker run -it --name container1 yubihsm-test
   docker run -it --name container2 yubihsm-test
   

   在每个容器内执行连接测试：

   # 连接主机的yubihsm-connector（替换为实际主机IP，或用host网络模式直接连127.0.0.1）
   yubihsm-shell -c connect -a 192.168.1.100:1234
   # 执行加密操作示例：生成RSA密钥
   yubihsm-shell -c generate-asymmetric-key -i 0 -l test-key -t rsa2048 -a sign,verify
   

   此示例可验证多容器同时/非同时访问YubiHSM的场景。

5. YubiHSM 2设备是否支持设备外的多容器使用？若支持，如何实现？ #

支持。核心是通过主机的yubihsm-connector将YubiHSM的USB连接转化为网络服务，共享给容器使用，具体步骤：

1. 配置主机的yubihsm-connector
   修改配置文件（Ubuntu为/etc/yubihsm-connector/config.yaml，MacOS为/usr/local/etc/yubihsm-connector/config.yaml），设置监听地址允许容器访问：

   listen: 0.0.0.0:1234
   

   重启守护进程：

   # Ubuntu
   sudo systemctl restart yubihsm-connector
   # MacOS
   brew services restart yubihsm-connector
   

2. 容器连接配置
   两种方式二选一：
   • 主机网络模式：启动容器时使用--network host，直接共享主机网络，容器内可通过127.0.0.1:1234连接YubiHSM。
   • 端口映射模式：启动容器时通过-p 1234:1234映射端口，容器内通过主机IP加端口（如192.168.1.100:1234）连接。
3. 容器内使用
   容器内安装YubiHSM SDK或yubihsm-shell工具，通过连接上述地址即可调用YubiHSM的加密功能。

内容的提问来源于stack exchange，提问作者user25269461