LS1046a安全启动是否可以通过我们的HSM对启动映像进行签名？

引导映像应由集成的 CST 签名。在我的用例中，我们的 RSA 私钥存储在公司的 HSM 中（无法导出私钥，只能调用签名 API）。是否可以通过我们的 HSM 对引导映像进行签名？
CST的源码我已经看过了，我可以自己修改CST的sign函数。但是，我注意到私钥对于创建标头是强制性的
那么，有什么方法可以避免在创建标头的步骤中分配私钥吗？