UKey硬件识别需先清洁触点并插原生USB接口，观察系统图标；若无响应则执行lsusb查厂商ID，无输出说明硬件层未响应，须换接口或电脑验证。
确认UKey硬件是否被系统识别
拔下UKey，用无绒布轻擦金属触点，重新插入主机背面的USB 2.0或USB 3.0原生接口；观察桌面右上角是否出现UKey设备图标——若完全无图标、无提示音，说明内核未识别，必须进入终端排查。
按Ctrl+Alt+T打开终端，执行lsusb，检查输出中是否有类似ID 279d:0001 Aladdin Knowledge Systems eToken PRO 64k Java、BJCA、Feitian或财政UKey等厂商标识。没有则属硬件层未响应，需换接口/换电脑交叉验证。
安装并激活对应厂商的UOS专用驱动
不同UKey型号必须匹配其官方发布的UOS ARM64或AMD64驱动包，Windows驱动在UOS上完全无效。
方法一：财政UKey（型号20079）
下载财政UKey20079_User_x64_5.1.2019.8071.deb（注意不是.exe），双击安装；安装完成后桌面会出现“财政Ukey用户工具”图标，必须手动双击运行一次，否则后台服务不激活。
方法二：BJCA或ePass系列
先卸载残留组件：打开“控制中心→程序与更新→已安装软件”，搜索并卸载“BJCA 电子签章”“BJCA 证书应用环境”“ePass3000”；重启后，从BJCA官网下载PNXClient_UOS_amd64.deb（Intel/AMD设备）或PNXClient_UOS_arm64.deb（ARM设备），双击安装并输入管理员密码。注意：安装过程中若弹出360安全卫士拦截框，必须勾选‘不再提示’并点击‘允许程序所有操作’，否则驱动文件被隔离导致后续证书读取失败。
启用关键后台服务
UKey依赖secondary-logon服务支撑证书读取，该服务未运行会导致所有基于CSP/NCSP的政务平台（如国家税务总局电子税务局、各省政务服务网）证书模块加载失败。
在终端中执行：sudo systemctl status secondary-logon→若显示inactive (dead)，则立即执行：sudo systemctl enable --now secondary-logon。
执行后无需重启系统，服务即刻生效。这一步操作起来很简单，直接回车即可完成启用。
配置PAM实现操作系统级双因素认证
统信UOS认证体系基于PAM，双因子认证需修改/etc/pam.d/common-auth，接入SLA模块实现密码+UKey PIN联合校验。
第一步：确认SLA模块已安装
执行dpkg -l | grep sla-pam，若无输出，需联系厂商获取sla-pam_*.deb包并安装。
第二步：备份原始配置sudo cp /etc/pam.d/common-auth /etc/pam.d/common-auth.bak——【此步不可跳过，误改PAM可能导致无法登录】。
第三步：插入SLA认证规则
执行sudo nano /etc/pam.d/common-auth，在文件顶部插入以下两行（顺序不能颠倒）：auth [success=done default=ignore] pam_sla.so auth_type=ukeyauth [default=die] pam_faildelay.so delay=3000000。
第四步：保存退出并测试
按Ctrl+O保存→Enter确认→Ctrl+X退出；立即新建终端窗口，执行loginctl terminate-user $USER强制当前会话登出，再用图形界面重新登录——输入密码后，系统将自动弹出UKey PIN输入框。
浏览器USB权限与PKCS#11模块验证
政务类Web应用（如电子税务局）需通过浏览器调用UKey证书，必须显式授权USB设备访问权限并加载PKCS#11模块。
打开Firefox或Chromium浏览器，在地址栏输入about:config→搜索security.webauth.u2f→双击设为true。
执行pkcs11-tool --module /usr/lib/opensc-pkcs11.so -T，若返回令牌信息（含Label、Manufacturer等字段），说明PKCS#11模块已就绪；若报错Module not found，需安装opensc：sudo apt install -y opensc。
最后，在浏览器设置中进入“隐私与安全→网站设置→USB设备”，将目标政务网址添加为“允许”站点。
