【已评审】DICE远程证明Redfish接口变更

yanchuanjie · 2026 年5 月 12 日 03:24

背景

基于DICE协议的远程证明能力，BMC侧提供同步接口，支持在一次redfish接口请求中完成DICE的挑战响应过程。
使得远程证明工具能够通过redfish接口发起挑战请求，并从接口响应中直接获取BMC生成的挑战响应。
但当前已实现的DICE接口为创建对应处理任务，并将对应业务内容导出到指定路径的文件，接口仅返回任务ID，无法满足接口直接返回业务内容的诉求

关联ISSUE

暂无

整体方案

DICE证书导入接口 ImportDiceCertificate 做兼容处理，入参Type新增可选值
导出接口(ExportDiceCSR、ExportDiceCertificateChain、ExportHardwareComponentsCertificateChain)均为原有创建任务导出文件能力，保留原有能力并新增同步请求接口

评审点

DICE证书导入Redfish接口/redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.ImportDiceCertificate入参Type新增可选值
新增Redfish接口（生成DICE证书签名请求CSR） /redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.GenerateDiceCSR
新增Redfish接口（生成DICE挑战响应证书链） /redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.GenerateDiceCertificates
新增Redfish接口（生成融合身份认证证书链） /redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.GenerateHardwareComponentsCertificates
资源协作接口新增方法：①导入DICE的PEM格式证书、②生成DICE证书签名请求CSR、③生成DICE挑战响应证书链、④生成融合身份认证证书链

详细描述

评审点1：变更Redfish接口 - 导入DICE证书接口请求参数Type新增可选值

资源URI： /redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.ImportDiceCertificate
资源版本： openUBMCDiceCert.v1_0_0
操作类型： POST
变化类型： 入参Type新增可选值text，以支持字符串格式证书内容导入
应用场景： DICE证书导入

属性名	类型	示例/取值约束	readonly	易变属性	实现patch	操作权限	描述
Type	string	URI, 本地路径或远程路径 text, 字符串格式证书内容	否	否	否	SecurityMgmt	导入证书类型
Certificate	string	Type为URI时： 1.证书文件支持后缀为：.der、.crt、.cer、.pem 2.支持导出到本地路径和远程路径（本地路径必须在tmp目录下） 2.1 本地导入：“/tmp/文件名” 2.2 远程导入：“文件传输协议://用户名:密码@ip地址/目录/文件名” 2.3 文件传输协议包括五种：sftp、https、nfs、cifs、scp Type为text时： Certificate传参为pem格式证书的字符串内容如：`Certificate: “-----BEGIN CERTIFICATE-----\nMIIFsTCC [truncated] GXG5zljlu\n-----END CERTIFICATE-----”`	否	否	否	SecurityMgmt	DICE证书导入时证书内容或证书文件路径

评审点2：新增Redfish接口 - 生成DICE证书签名请求CSR

资源URI： /redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.GenerateDiceCSR
资源版本： openUBMCDiceCert.v1_0_0
操作类型： POST
变化类型： 新增接口
应用场景： 生成并返回DICE证书签名请求CSR的内容

ActionInfo：/redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.GenerateDiceCSR

{
  "@odata.context": "/redfish/v1/$metadata#ActionInfo.ActionInfo",
  "@odata.id": "/redfish/v1/Managers/1/SecurityService/DiceCert/GenerateDiceCSR",
  "@odata.type": "#ActionInfo.v1_0_1.ActionInfo",
  "Parameters": [],
  "Oem": {}
}

Schema：

"GenerateDiceCSR": {
	"type": "object",
	"actionResponse": {
		"$ref": "#/definitions/GenerateDiceCSRResponse"
	},
	"parameters": {},
	"description": "Generate DICE certificate CSR.",
	"longDescription": "This action shall generate the DICE certificate CSR and return it as PEM-encoded CSR string."
},
"GenerateDiceCSRResponse": {
	"type": "object",
	"additionalProperties": false,
	"properties": {
		"CSRString": {
			"description": "The string for the DICE certificate signing request.",
            "longDescription": "This property shall contain the DICE certificate signing request as a PEM-encoded string, containing structures specified by RFC2986.  The private key should not be part of the string.",
            "readonly": true,
			"type": "string",
		},
	},
	"required": ["CSRString"],
	"description": "Response body for GenerateDiceCSR action."
}

评审点3：新增Redfish接口 - 生成DICE挑战响应证书链

资源URI： /redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.GenerateDiceCertificates
资源版本： openUBMCDiceCert.v1_0_0
操作类型： POST
变化类型： 新增接口
应用场景： 生成并返回DICE挑战响应证书链的内容

属性名	类型	示例/取值约束	readonly	易变属性	实现patch	操作权限	描述
Nonce	string	长度限制：[15, 1024] 示例：0F12082A11121314	否	否	否	SecurityMgmt	DICE请求挑战值nonce（number used once）

ActionInfo：

{
  "@odata.context": "/redfish/v1/$metadata#ActionInfo.ActionInfo",
  "@odata.id": "/redfish/v1/Managers/1/SecurityService/DiceCert/GenerateDiceCertificates",
  "@odata.type": "#ActionInfo.v1_0_1.ActionInfo",
  "Parameters": [
    {
      "Name": "Nonce",
      "Required": true,
      "DataType": "String"
    }
  ],
  "Oem": {}
}

Schema：

"GenerateDiceCertificates": {
	"type": "object",
	"actionResponse": {
		"$ref": "#/definitions/GenerateDiceCertificatesResponse"
	},
	"parameters": {
		"Nonce": {
			"type": "string",
			"requiredParameter": true,
			"description": "Nonce for certificate chain generation.",
			"longDescription": "This parameter shall contain the nonce used for DICE certificate chain generation."
		}
	},
	"description": "Generate DICE certificate chain and return directly.",
	"longDescription": "This action shall generate the DICE certificate chain and return it as an array of PEM-encoded certificate strings."
},
"GenerateDiceCertificatesResponse": {
	"type": "object",
	"additionalProperties": false,
	"properties": {
		"CertificateChain": {
			"type": "array",
			"items": {
				"type": "object",
				"additionalProperties": false,
				"properties": {
					"CertificateString": {
	                    "description": "The string for the certificate.",
	                    "longDescription": "This property shall contain the certificate, and the format shall follow the requirements specified by the `CertificateType` property value.  If the certificate contains any private keys, they shall be removed from the string in responses.  If the service does not know the private key for the certificate and is needed to use the certificate, the client shall provide the private key as part of the string in the `POST` request.  For additional property requirements, see the corresponding definition in the Redfish Data Model Specification.",
	                    "readonly": true,
	                    "type": [
	                        "string",
	                        "null"
	                    ]
	                },
	                "CertificateType": {
	                    "anyOf": [
	                        {"$ref": "http://redfish.dmtf.org/schemas/v1/Certificate.json#/definitions/CertificateType"},
	                        {"type": "null"}
	                    ],
	                    "description": "The format of the certificate.",
	                    "longDescription": "This property shall contain the format type for the certificate.  For additional property requirements, see the corresponding definition in the Redfish Data Model Specification.",
	                    "readonly": true
	                },
				},
				"required": ["CertificateString"]
			},
			"readonly": true,
			"description": "Array of DIcE certificates in the chain.",
			"longDescription": "This property shall contain an array of DIcE certificate objects, each containing a PEM-encoded certificate string."
		}
	},
	"required": ["CertificateChain"],
	"description": "Response body for GenerateDiceCertificateChain action."
}

评审点4：新增Redfish接口 - 生成融合身份认证证书链

资源URI： /redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.GenerateHardwareComponentsCertificates
资源版本： openUBMCDiceCert.v1_0_0
操作类型： POST
变化类型： 新增接口
应用场景： 生成并返回融合身份认证证书链的内容

属性名	类型	示例/取值约束	readonly	易变属性	实现patch	操作权限	描述
Nonce	string	长度限制：[15, 1024] 示例：0F12082A11121314	否	否	否	SecurityMgmt	DICE请求挑战值nonce（number used once）

ActionInfo：

{
  "@odata.context": "/redfish/v1/$metadata#ActionInfo.ActionInfo",
  "@odata.id": "/redfish/v1/Managers/1/SecurityService/DiceCert/GenerateHardwareComponentsCertificates",
  "@odata.type": "#ActionInfo.v1_0_1.ActionInfo",
  "Parameters": [
    {
      "Name": "Nonce",
      "Required": true,
      "DataType": "String"
    }
  ],
  "Oem": {}
}

Schema：

"GenerateHardwareComponentsCertificates": {
	"type": "object",
	"actionResponse": {
		"$ref": "#/definitions/GenerateHardwareComponentsCertificatesResponse"
	},
	"parameters": {
		"Nonce": {
			"type": "string",
			"requiredParameter": true,
			"description": "Nonce for certificate chain generation.",
			"longDescription": "This parameter shall contain the nonce used for DICE certificate chain generation."
		}
	},
	"description": "Generate DICE certificate chain and return directly.",
	"longDescription": "This action shall generate the DICE certificate chain and return it as an array of PEM-encoded certificate strings."
},
"GenerateHardwareComponentsCertificatesResponse": {
	"type": "object",
	"additionalProperties": false,
	"properties": {
		"CertificateChain": {
			"type": "array",
			"items": {
				"type": "object",
				"additionalProperties": false,
				"properties": {
					"CertificateString": {
	                    "description": "The string for the certificate.",
	                    "longDescription": "This property shall contain the certificate, and the format shall follow the requirements specified by the `CertificateType` property value.  If the certificate contains any private keys, they shall be removed from the string in responses.  If the service does not know the private key for the certificate and is needed to use the certificate, the client shall provide the private key as part of the string in the `POST` request.  For additional property requirements, see the corresponding definition in the Redfish Data Model Specification.",
	                    "readonly": true,
	                    "type": [
	                        "string",
	                        "null"
	                    ]
	                },
	                "CertificateType": {
	                    "anyOf": [
	                        {
	                            "$ref": "http://redfish.dmtf.org/schemas/v1/Certificate.json#/definitions/CertificateType"
	                        },
	                        {
	                            "type": "null"
	                        }
	                    ],
	                    "description": "The format of the certificate.",
	                    "longDescription": "This property shall contain the format type for the certificate.  For additional property requirements, see the corresponding definition in the Redfish Data Model Specification.",
	                    "readonly": true
	                },
				},
				"required": [
					"CertificateString"
				]
			},
			"readonly": true,
			"description": "Array of DICE certificates in the chain.",
			"longDescription": "This property shall contain an array of DIcE certificate objects, each containing a PEM-encoded certificate string."
		}
	},
	"required": [
		"CertificateChain"
	],
	"description": "Response body for GenerateHardwareComponentsCertificates action."
}

评审点5：资源协作接口新增方法

资源路径： /bmc/kepler/Managers/:Id/Security/DICE
资源接口： bmc.kepler.Managers.Security.DICE
变化类型： 新增方法
方法描述： ①导入DICE的PEM格式证书、②生成DICE证书签名请求CSR、③生成DICE挑战响应证书链、④生成融合身份认证证书链

方法名称	请求签名	请求参数类型	请求参数描述	响应签名	响应参数描述	方法描述	访问权限
GenerateCSR	-	-	-	s	PEM格式的证书签名请求CSR字符串	生成PEM格式DICE根证书的签名请求CSR内容	SecurityMgmt
ImportDICECertificate	s	String	Certificate: PEM格式的DICE证书字符串	-	无	导入PEM格式的DICE证书	SecurityMgmt
GenerateDICECertificates	s	String	Nonce: 挑战值字符串	as	DICE挑战响应证书链字符串数组	生成DICE远程证明挑战相应证书链	SecurityMgmt
GenerateHardwareComponentsCertificates	s	String	Nonce: 挑战值字符串	as	融合身份挑战相应证书链字符串数组	生成融合身份挑战相应证书链	SecurityMgmt

是否准备好AI预审

是

评审结论

同意DICE证书导入Redfish接口/redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.ImportDiceCertificate入参Type新增可选值text
同意新增接口：
1. （生成DICE证书签名请求CSR） /redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.GenerateDiceCSR
2. （生成DICE挑战响应证书链） /redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.GenerateDiceCertificates
3. （生成融合身份认证证书链） /redfish/v1/Managers/{ManagerId}/SecurityService/DiceCert/Actions/DiceCert.GenerateHardwareComponentsCertificates
资源协作接口bmc.kepler.Managers.Security.DICE同意新增方法：（方法详细参数见评审点5）
1. ImportDICECertificate，导入DICE的PEM格式证书
2. GenerateCSR，生成DICE证书签名请求CSR
3. GenerateDICECertificates，生成DICE挑战响应证书链
4. GenerateHardwareComponentsCertificates，生成融合身份认证证书链

遗留问题

评审点1：GenerateDiceCSR 出参描述 schema补充 – 已补充（参考redfish标准补充CSRString对应的schema描述）
评审点5：补充参数名称（仅类型的描述不够）-- 已补充（请求参数名称）
评审点5：方法名称和方法描述不一致；方法名称过长 – （已修正）

ubmc_assistant · 2026 年5 月 12 日 03:58

预审答案内容由AI生成，仅供参考：

帖子评审结论：【待评审】DICE远程证明Redfish接口变更

帖子相关性：与 Redfish 相关（帖子内容包含 ‘redfish’ 关键字）

总评审点数：4
Redfish 相关评审点：4
非 Redfish 评审点：0

总体结果：不通过（0/4 个评审点通过）

评审点 1：变更接口 - 导入DICE证书接口请求参数Type新增可选值

结果：不通过

URI 示例生成：通过
Schema 验证：不通过（2 项失败，2 项警告）
- Schema 来源：DMTF ✗，OEM ✓（实际参与校验：OEM）
- 入口 schema 文件：rackmount/oem/openubmc/json_schema/openubmcdicecert.v1_0_0.json（rackmount OEM 自定义（rackmount/oem/openubmc））
- Schema 依据：静态校验直接依据：rackmount OEM 自定义（rackmount/oem/openubmc）（rackmount/oem/openubmc/json_schema/openubmcdicecert.v1_0_0.json）
- [Required Property Error] Required Property Error: Property ‘Id’ is mandatory, but not present in the payload.
- [Required Property Error] Required Property Error: Property ‘Name’ is mandatory, but not present in the payload.
规则合规性检查：不通过（1/18 项失败）
- 静态验证失败项：
  - [Schema] 模型静态检查：Required Property Error: Required Property Error: Property ‘Id’ is mandatory, but not present in the payload.
    - 建议：添加必需属性 ‘Id’
  - [Schema] 模型静态检查：Required Property Error: Required Property Error: Property ‘Name’ is mandatory, but not present in the payload.
    - 建议：添加必需属性 ‘Name’

评审点 2：新增接口 - 生成DICE证书签名请求CSR

结果：不通过

URI 示例生成：通过
Schema 验证：不通过（2 项失败，1 项警告）
- Schema 来源：DMTF ✗，OEM ✓（实际参与校验：OEM）
- 入口 schema 文件：rackmount/oem/openubmc/json_schema/openubmcdicecert.v1_0_0.json（rackmount OEM 自定义（rackmount/oem/openubmc））
- Schema 依据：静态校验直接依据：rackmount OEM 自定义（rackmount/oem/openubmc）（rackmount/oem/openubmc/json_schema/openubmcdicecert.v1_0_0.json）
- [Required Property Error] Required Property Error: Property ‘Id’ is mandatory, but not present in the payload.
- [Required Property Error] Required Property Error: Property ‘Name’ is mandatory, but not present in the payload.
规则合规性检查：不通过（1/18 项失败）
- 静态验证失败项：
  - [Schema] 模型静态检查：Required Property Error: Required Property Error: Property ‘Id’ is mandatory, but not present in the payload.
    - 建议：添加必需属性 ‘Id’
  - [Schema] 模型静态检查：Required Property Error: Required Property Error: Property ‘Name’ is mandatory, but not present in the payload.
    - 建议：添加必需属性 ‘Name’

评审点 3：新增接口 - 生成DICE挑战响应证书链

结果：不通过

URI 示例生成：通过
Schema 验证：不通过（2 项失败，1 项警告）
- Schema 来源：DMTF ✗，OEM ✓（实际参与校验：OEM）
- 入口 schema 文件：rackmount/oem/openubmc/json_schema/openubmcdicecert.v1_0_0.json（rackmount OEM 自定义（rackmount/oem/openubmc））
- Schema 依据：静态校验直接依据：rackmount OEM 自定义（rackmount/oem/openubmc）（rackmount/oem/openubmc/json_schema/openubmcdicecert.v1_0_0.json）
- [Required Property Error] Required Property Error: Property ‘Id’ is mandatory, but not present in the payload.
- [Required Property Error] Required Property Error: Property ‘Name’ is mandatory, but not present in the payload.
规则合规性检查：不通过（2/18 项失败）
- 静态验证失败项：
  - [Schema] 模型静态检查：Required Property Error: Required Property Error: Property ‘Id’ is mandatory, but not present in the payload.
    - 建议：添加必需属性 ‘Id’
  - [Schema] 模型静态检查：Required Property Error: Required Property Error: Property ‘Name’ is mandatory, but not present in the payload.
    - 建议：添加必需属性 ‘Name’
- 规则合规性失败项（必须项）：
  - [RULE-001] 命名规范 (规则合规性检查)：属性名 Certificatechain 不符合 PascalCase 规范，应为 CertificateChain
    - 建议：将属性名 Certificatechain 修改为 CertificateChain，确保复合词中每个单词首字母大写

评审点 4：新增接口 - 生成融合身份认证证书链

结果：不通过

URI 示例生成：通过
Schema 验证：出错（未知错误）
规则合规性检查：不通过（1/18 项失败）
- 规则合规性失败项（必须项）：
  - [RULE-001] 命名规范 (规则合规性检查)：属性名 Certificatechain 不符合 PascalCase 规范，应为 CertificateChain
    - 建议：将属性名 Certificatechain 修改为 CertificateChain，确保每个单词的首字母都大写
- 警告项（建议性）：
  - [RULE-002] 标准化属性 (警告)：Certificatechain 是非标准属性，直接放在 ServiceRoot 根级别违反了 OEM 扩展规范
    - 建议：这是一个 severity=‘should’ 的建议性规则，建议修改以提升规范符合性

yanchuanjie · 2026 年5 月 14 日 08:06

CertificateChain命名已修改
Id、Name已经存在，未单独列出来在评审内容中

话题		回复	浏览量
【已评审】支持国密DICE，调整Redfish接口说明 Interface评审	3	103	2025 年7 月 31 日
【已评审】调整导出DICE证书链、融合身份证书链的接口说明 Interface评审	1	55	2025 年8 月 28 日
【已评审】新增资源协作接口限制读取DICE挑战信息的通道 Interface评审	1	58	2026 年2 月 12 日
【已评审】支持北向接口进行内部通信管理 Interface评审	1	75	2026 年6 月 11 日
【已评审】新增rest接口响应用于表示证书是否满足安全要求 Interface评审方案评审	1	123	2025 年8 月 21 日

【已评审】DICE远程证明Redfish接口变更

背景

关联ISSUE

整体方案

评审点

详细描述

评审点1：变更Redfish接口 - 导入DICE证书接口请求参数Type新增可选值

评审点2：新增Redfish接口 - 生成DICE证书签名请求CSR

评审点3：新增Redfish接口 - 生成DICE挑战响应证书链

评审点4：新增Redfish接口 - 生成融合身份认证证书链

评审点5：资源协作接口新增方法

是否准备好AI预审

评审结论

遗留问题

帖子评审结论：【待评审】DICE远程证明Redfish接口变更

总体结果：不通过（0/4 个评审点通过）

评审点 1：变更接口 - 导入DICE证书接口请求参数Type新增可选值

评审点 2：新增接口 - 生成DICE证书签名请求CSR

评审点 3：新增接口 - 生成DICE挑战响应证书链

评审点 4：新增接口 - 生成融合身份认证证书链

相关话题