i.MX-RT1170是否可以通过我们的HSM对启动映像进行签名？

我已阅读文档 i.MX RT1170 安全启动模式 (AN13250)。
引导映像应由集成的 CST + elftosb（或配置工具）签名。但是，在我的用例中，我们的 RSA 私钥存储在公司的 HSM 中（无法导出私钥，只能调用签名 API）。是否可以通过我们的 HSM 对引导映像进行签名？换句话说，我想利用 RSA 公钥 + 图像签名来生成可启动图像。
那么，有什么方法可以避免在创建可引导映像的步骤中分配私钥吗？