安装国产密码机驱动必须先用lsusb确认内核识别，再通过软件中心一键安装或手动部署签名包，否则“密码服务管理器”无法检测设备；需确保设备为国密认证型号，安装后必须重启系统并验证PKCS#11模块加载。
在银河麒麟系统中安装国产密码机驱动软件，必须先确认设备物理连接与内核识别状态，再选择匹配的签名驱动包部署路径，否则“密码服务管理器”将无法检测到硬件设备，所有加解密、签名、密钥生成操作均不可用。
确认密码机是否被系统识别
这一步不可跳过。很多用户直接双击安装包，却忽略设备根本未接入内核——此时安装成功也无实际功能。
插入密码机（USB接口优先使用USB 2.0黑色口，部分国密设备在USB 3.0蓝色口上无法枚举描述符）→ 打开终端 → 执行：lsusb | grep -i "crypto\|sm\|guomi\|sca\|ctc"。
若返回类似 Bus 002 Device 004: ID 096e:0821 Shanghai SCA Co., Ltd. SM2/SM4 Cryptographic USB Token，说明设备已被识别；若无输出，尝试更换USB口或检查设备开关/指示灯。
【关键前提】设备必须为国家密码管理局认证的商用密码产品（型号含“SJJ”“SCA”“CTC”“SM”等前缀），非认证设备即使能识别也无法通过KySec策略加载驱动模块。
通过麒麟软件中心一键安装驱动
适用于已入驻银河麒麟生态的主流密码机，如：江南天安TASSL系列、卫士通WT-SCA3000、三未信安SSX系列、飞天诚信ePass系列（带国密标识版本）。
点击开始菜单 → 启动“麒麟软件中心” → 顶部搜索栏输入设备全称（例如“TASSL-SM2”或“WT-SCA3000”）→ 在结果中筛选带有【银河麒麟V10 SP3】【x86_64】或【ARM64】标签的驱动包 → 点击“安装”，输入管理员密码完成部署。
安装完成后必须重启系统，否则pkcs11-tool --module /usr/lib/opensc-pkcs11.so -D命令将无法列出令牌信息。
手动安装厂商签名驱动包
当软件中心无对应驱动，或需部署最新SDK（如支持SM9算法的v3.2+版本），须从厂商官网获取签名包并执行命令行安装。
方法一：安装.deb格式驱动包
访问江南天安/三未信安/卫士通官网“国产系统支持”栏目，下载与当前系统架构完全一致的.deb文件（例如：tassl-sm2-kylin-v10-sp3-amd64.deb）→ 打开终端进入下载目录 → 执行：sudo dpkg -i tassl-sm2-kylin-v10-sp3-amd64.deb → 若提示依赖缺失，立即运行：sudo apt install -f修复。
方法二：运行.run脚本安装
下载如wt-sca3000-sdk-3.2.1-kylin.run类文件 → 进入保存目录 → 执行：sudo chmod +x wt-sca3000-sdk-*.run → 再执行：sudo ./wt-sca3000-sdk-*.run --no-opengl-files → 安装过程中出现“DKMS registration”提示时，【务必选Yes】，否则内核升级后PKCS#11模块永久失效。
方法三：启用PKCS#11模块并验证
安装完成后，执行：sudo modprobe usbserial vendor=0x096e product=0x0821（参数按lsusb实际ID替换）→ 验证模块加载：lsmod | grep -i usbserial → 检查令牌是否可见：pkcs11-tool --module /usr/lib/opensc-pkcs11.so -D → 输出中应包含“Using slot … with present token”字样。
