本文件規(guī)定了云密碼應(yīng)用總體技術(shù)架構(gòu)，規(guī)定了云密碼資源池和云密碼服務(wù)接口的技術(shù)要求。本文件適用于指導(dǎo)云密碼建設(shè)和云平臺(tái)中的用戶終端、網(wǎng)絡(luò)與接入、云平臺(tái)服務(wù)、云安全管理對(duì)云密碼的應(yīng)用。
云密碼服務(wù)依托核心密碼防護(hù)技術(shù)，借助云計(jì)算資源，對(duì)云計(jì)算平臺(tái)提供密碼支撐與應(yīng)用設(shè)計(jì)能力。從用戶終端、網(wǎng)絡(luò)與接入、云平臺(tái)、云安全管理等角度，為云平臺(tái)及云租戶應(yīng)用系統(tǒng)的安全可靠運(yùn)行提供全面高效的密碼應(yīng)用服務(wù)，保證云平臺(tái)及上云系統(tǒng)符合國(guó)家法律法規(guī)、政策文件、標(biāo)準(zhǔn)規(guī)范的要求，滿足合規(guī)性、完整性和安全性要求。
云密碼應(yīng)用框架圖分為上下兩部分：
上部分為云密碼應(yīng)用層，分為終端密碼應(yīng)用、網(wǎng)絡(luò)與接入安全密碼應(yīng)用、云平臺(tái)密碼應(yīng)用。其中終端密碼應(yīng)用包含傳統(tǒng)PC端、物聯(lián)網(wǎng)終端、移動(dòng)終端、安全瀏覽器、智能密碼鑰匙等中涉及密碼相關(guān)的應(yīng)用；網(wǎng)絡(luò)與接入安全密碼應(yīng)用包含了可信接入、訪問(wèn)控制、身份認(rèn)證、IPSecVPN網(wǎng)關(guān)、SSLVPN網(wǎng)關(guān)等網(wǎng)絡(luò)通信與接入的密碼相關(guān)應(yīng)用；云平臺(tái)密碼應(yīng)用包括云管理平臺(tái)與云應(yīng)用平臺(tái)，云應(yīng)用平臺(tái)涉及服務(wù)層與平臺(tái)層，服務(wù)層中包含了云上托管業(yè)務(wù)密碼應(yīng)用與云上數(shù)據(jù)，平臺(tái)層中包含了資源、系統(tǒng)、存儲(chǔ)等安全。以上終端密碼應(yīng)用、網(wǎng)絡(luò)與接入安全密碼應(yīng)用、云平臺(tái)密碼應(yīng)用在使用密碼服務(wù)時(shí)，均可通過(guò)調(diào)用密碼資源池對(duì)外接口，為身份認(rèn)證、訪問(wèn)控制、授權(quán)管理、數(shù)據(jù)安全等信息安全功能提供基礎(chǔ)和統(tǒng)一的密碼支撐；
下部分為密碼資源池，基于云密碼資源、密碼基礎(chǔ)設(shè)施，對(duì)外開(kāi)放密碼服務(wù)即接口，為云平臺(tái)及云租戶提供統(tǒng)一的密碼服務(wù)。
云密碼應(yīng)用規(guī)范
▼
（全文略）
為保證云密碼資源池提供的密碼服務(wù)中接入應(yīng)用的安全性，需結(jié)合多種認(rèn)證模式，基于角色、服務(wù)、身份對(duì)云密碼服務(wù)進(jìn)行訪問(wèn)授權(quán)控制。對(duì)于不同的業(yè)務(wù)服務(wù)模式，采取最合適的訪問(wèn)控制機(jī)制，同時(shí)，借助訪問(wèn)控制機(jī)制，為云中密碼服務(wù)的審計(jì)提供有效的技術(shù)支撐。
云密碼應(yīng)用在規(guī)劃階段、建設(shè)階段和運(yùn)行階段，需根據(jù)《商用密碼應(yīng)用安全性評(píng)估管理辦法（試行）》等相關(guān)要求，按照GM/T 0054執(zhí)行，從物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全四個(gè)層面采用密碼技術(shù)措施，建立安全的密鑰管理方案，采取有效的安全管理措施。云密碼應(yīng)用通過(guò)云密碼測(cè)評(píng)是項(xiàng)目驗(yàn)收的必要條件，云密碼測(cè)評(píng)合規(guī)性參考表見(jiàn)附錄A。
構(gòu)建云密碼資源池，對(duì)外提供統(tǒng)一的密碼服務(wù)是當(dāng)前實(shí)現(xiàn)密碼云化的一種有效方式。云密碼資源池將虛擬化技術(shù)和云管理技術(shù)應(yīng)用在密碼設(shè)備集群，把密碼設(shè)備集群組織成“密碼設(shè)備云”，形成集成化的云密碼服務(wù)資源池。
云密碼資源池為云中數(shù)據(jù)提供全生命周期的安全服務(wù)，需通過(guò)硬件虛擬化技術(shù)，為多個(gè)應(yīng)用系統(tǒng)提供高速、可靠、可擴(kuò)展的密鑰管理服務(wù)、隨機(jī)數(shù)服務(wù)、簽名與驗(yàn)簽服務(wù)、身份認(rèn)證服務(wù)和加解密服務(wù)，有效地提高密碼資源的利用率。同時(shí)，云密碼服務(wù)自身應(yīng)能確保可伸縮、動(dòng)態(tài)、高效的運(yùn)行，具備抗攻擊能力。
云密碼管理平臺(tái)是云密碼服務(wù)的支撐與運(yùn)維平臺(tái)。其中管理層的密鑰管理與認(rèn)證管理為云密碼服務(wù)提供密鑰與證書(shū)的管理服務(wù)支撐；管理層的密碼服務(wù)監(jiān)管負(fù)責(zé)云密碼服務(wù)的運(yùn)維保障，包括監(jiān)控云密碼設(shè)備、云機(jī)密算密碼資源、密碼應(yīng)用及其運(yùn)行狀況，同時(shí)結(jié)合云平臺(tái)的運(yùn)維、安全等要求，對(duì)密碼服務(wù)資源池?cái)?shù)據(jù)進(jìn)行統(tǒng)一存儲(chǔ)、備份和恢復(fù)。
云密碼服務(wù)通過(guò)接口對(duì)外提供統(tǒng)一身份認(rèn)證服務(wù)、密鑰管理服務(wù)、隨機(jī)數(shù)服務(wù)、簽名驗(yàn)簽服務(wù)、加解密服務(wù)、時(shí)間戳服務(wù)。為了使云密碼服務(wù)在具備通用性的同時(shí)保證提供服務(wù)的安全性，云密碼服務(wù)接口需要滿足下述規(guī)范要求。
