SignServer对接HSM的PKCS#11报错：SHAREDLIBRARYNAME Utimaco未定义

• Docker启动SignServer命令：

docker run -it --rm --name signserver \
-p 80:8080 -p 443:8443 \
-e CRYPTO_SERVER_IP=**** \
-v /ca-cert.pem:/mnt/external/secrets/tls/cas/ManagementCA.crt \
signserver:1.0

• 修改signserver-deploy.configuration添加PKCS#11库定义：

cryptotoken.p11.lib.30.name=Utimaco
cryptotoken.p11.lib.30.file=/opt/utimaco/p11/libcs_pkcs11_R3.so

• 通过模板添加PKCS#11加密工作者并配置：

WORKERGENID1.SHAREDLIBRARYNAME=Utimaco

• 激活工作者输入认证码后出现错误：

- Failed to initialize crypto token: SHAREDLIBRARYNAME Utimaco is not referring to a defined value

1. 修正部署配置文件的路径与格式 #

SignServer的部署配置文件默认名为signserver-deploy.properties而非.configuration，且必须挂载到容器内正确路径才能被加载：

• 将宿主机修改后的配置文件挂载到容器：

docker run -it --rm --name signserver \
-p 80:8080 -p 443:8443 \
-e CRYPTO_SERVER_IP=**** \
-v /ca-cert.pem:/mnt/external/secrets/tls/cas/ManagementCA.crt \
-v /host/path/to/signserver-deploy.properties:/opt/signserver/conf/signserver-deploy.properties \
signserver:1.0

• 进入容器验证配置是否生效：

docker exec -it signserver cat /opt/signserver/conf/signserver-deploy.properties

2. 挂载HSM PKCS#11驱动到容器 #

配置中指定的驱动路径/opt/utimaco/p11/libcs_pkcs11_R3.so必须存在于容器内，需将宿主机的驱动目录挂载进去：

docker run -it --rm --name signserver \
-p 80:8080 -p 443:8443 \
-e CRYPTO_SERVER_IP=**** \
-v /ca-cert.pem:/mnt/external/secrets/tls/cas/ManagementCA.crt \
-v /host/path/to/signserver-deploy.properties:/opt/signserver/conf/signserver-deploy.properties \
-v /host/path/to/utimaco/p11:/opt/utimaco/p11 \
signserver:1.0

• 验证驱动存在：

docker exec -it signserver ls /opt/utimaco/p11/libcs_pkcs11_R3.so

3. 检查配置项的一致性 #

• 确认cryptotoken.p11.lib.30.name的编号30未与其他PKCS#11库定义冲突；
• 确保工作者配置的SHAREDLIBRARYNAME值与部署配置中的name字段完全一致（大小写敏感）。

4. 重启服务并验证配置加载 #

修改配置后必须重启容器使配置生效：

docker restart signserver

• 进入容器使用SignServer CLI检查已加载的PKCS#11库：

docker exec -it signserver /opt/signserver/bin/signserver getconfig cryptotoken.p11.lib

若输出包含Utimaco的配置项，说明加载成功，可重新激活工作者。

内容的提问来源于stack exchange，提问作者junhu