基于密碼技術(shù)實(shí)現(xiàn)云場(chǎng)景安全的統(tǒng)一服務(wù)平臺(tái)方案將云計(jì)算和商用密碼技術(shù)、產(chǎn)品、服務(wù)融合，形成了云環(huán)境下的商用密碼服務(wù)，為云平臺(tái)和云上租戶應(yīng)用系統(tǒng)提供彈性擴(kuò)容、高可用、穩(wěn)定性的云密碼服務(wù)。滿足多設(shè)備終端、多業(yè)務(wù)場(chǎng)景下身份鑒別、數(shù)據(jù)傳輸加密、數(shù)據(jù)存儲(chǔ)加密、完整性保護(hù)等需求，并且實(shí)現(xiàn)了多云異構(gòu)數(shù)據(jù)融合、跨云協(xié)同資源調(diào)度、密碼統(tǒng)一運(yùn)營(yíng)監(jiān)管等。

本方案的服務(wù)對(duì)象是云上的信息系統(tǒng)，根據(jù)系統(tǒng)密碼應(yīng)用需求，通過部署在云上的密碼服務(wù)平臺(tái)，向信息系統(tǒng)提供對(duì)應(yīng)密碼服務(wù)，并開展系統(tǒng)的集成改造工作。平臺(tái)分別面向系統(tǒng)管理員、平臺(tái)運(yùn)營(yíng)人員等多角色提供多設(shè)備終端、多業(yè)務(wù)場(chǎng)景的安全認(rèn)證服務(wù)、安全通道服務(wù)、數(shù)據(jù)加解密服務(wù)等，為云上系統(tǒng)的管理者和運(yùn)營(yíng)者，提供一套基于商用密碼技術(shù)實(shí)現(xiàn)的云場(chǎng)景安全與運(yùn)營(yíng)服務(wù)平臺(tái)。

本方案依托于密碼服務(wù)平臺(tái)產(chǎn)品，將多種商用密碼能力以服務(wù)化的方式對(duì)外進(jìn)行提供，整體架構(gòu)如下圖所示：

密碼服務(wù)平臺(tái)由密碼資源層、密碼服務(wù)層、密碼管理層三層架構(gòu)組成，低層可為上一層提供密碼服務(wù)支撐。

密碼資源層作為密碼服務(wù)平臺(tái)的密碼基礎(chǔ)設(shè)施，由云服務(wù)器密碼機(jī)等硬件密碼設(shè)備及通用服務(wù)器組成，為建立安全密碼保障體系提供密碼底層資源支撐。

密碼服務(wù)層是密碼服務(wù)平臺(tái)將低層密碼資源經(jīng)過功能封裝，為云上信息系統(tǒng)提供的各類密碼服務(wù)，包括但不限于密鑰管理服務(wù)、安全認(rèn)證服務(wù)、存儲(chǔ)加解密服務(wù)、安全通道服務(wù)等。各類服務(wù)支持按需訂購，符合云場(chǎng)景下用戶使用習(xí)慣。

密碼安全管理層提供面向平臺(tái)管理員和租戶的服務(wù)門戶，租戶可以通過租戶服務(wù)門戶實(shí)現(xiàn)密碼安全組件服務(wù)的開通、訂閱、退訂等，也可以實(shí)現(xiàn)租戶安全態(tài)勢(shì)自運(yùn)維，管理員通過平臺(tái)管理門戶可以實(shí)現(xiàn)運(yùn)營(yíng)方面的功能，如租戶管理、訂單管理、許可管理、升級(jí)管理等，幫助管理員掌握各租戶的安全建設(shè)情況，掌握全局云安全態(tài)勢(shì)。

平臺(tái)支持海光、鯤鵬等芯片，已完成統(tǒng)信、歐拉等系統(tǒng)兼容，并全面適配DAS-OS操作系統(tǒng)，實(shí)現(xiàn)開局即信創(chuàng)。

將商用密碼技術(shù)、產(chǎn)品與云計(jì)算進(jìn)行深度融合，將各類商用密碼產(chǎn)品結(jié)合虛擬化技術(shù)進(jìn)行封裝整合，通過密碼服務(wù)平臺(tái)向云租戶提供集中化、虛擬化的密碼服務(wù)。密碼服務(wù)平臺(tái)可根據(jù)服務(wù)負(fù)載情況平滑擴(kuò)容基礎(chǔ)設(shè)施資源，實(shí)現(xiàn)密碼服務(wù)的動(dòng)態(tài)調(diào)整和靈活調(diào)度，同時(shí)基于管理平臺(tái)為運(yùn)營(yíng)者提供統(tǒng)一的密碼安全管理手段。

密碼服務(wù)平臺(tái)底層采用高性能服務(wù)器部署，基于軟件定義安全設(shè)計(jì)思路，實(shí)現(xiàn)底層安全資源和頂層安全業(yè)務(wù)的解耦。將安全能力所需的計(jì)算資源、網(wǎng)絡(luò)資源、存儲(chǔ)資源、密碼資源虛擬化為安全資源池，頂層統(tǒng)一通過軟件編排的方式進(jìn)行智能化、自動(dòng)化的安全業(yè)務(wù)編排和管理，完成軟件定義安全能力。

通過安恒云-天池為云平臺(tái)和租戶建立涵蓋密碼安全、網(wǎng)絡(luò)安全和數(shù)據(jù)安全的綜合性安全能力。無需重復(fù)建設(shè)投入，網(wǎng)絡(luò)安全資源池搭建的計(jì)算環(huán)境也可以作為承載密碼安全組件的基礎(chǔ)資源。安全組件涵蓋事前監(jiān)測(cè)、事中防護(hù)、事后審計(jì)多個(gè)安全維度，能夠根據(jù)業(yè)務(wù)需求自由調(diào)度分配，提供一站式云安全防護(hù)能力，有效抵御安全風(fēng)險(xiǎn)。

本項(xiàng)目建設(shè)密碼服務(wù)平臺(tái)及密碼資源池，形成了具有多云異構(gòu)數(shù)據(jù)融合、跨云協(xié)同資源調(diào)度、統(tǒng)一運(yùn)營(yíng)監(jiān)管等能力的研究成果，已經(jīng)在杭州市政務(wù)云等多個(gè)運(yùn)營(yíng)商數(shù)字政府政務(wù)和運(yùn)營(yíng)商項(xiàng)目中落地，實(shí)現(xiàn)了云上密碼應(yīng)用。

應(yīng)用舉例：以某市政務(wù)云平臺(tái)：

通過在政務(wù)云中部署密碼服務(wù)平臺(tái)的硬件基礎(chǔ)設(shè)施，為某市政務(wù)云的密碼體系提供了基礎(chǔ)的硬件資源能力和體系。當(dāng)前已有10+單位開展密評(píng)工作，其中30+個(gè)系統(tǒng)已接入密碼服務(wù)，后續(xù)改造/新建系統(tǒng)將持續(xù)接入。

我國(guó)高度重視密碼的密評(píng)相關(guān)工作，從頂層戰(zhàn)略規(guī)劃、法律法規(guī)，到具體密碼應(yīng)用標(biāo)準(zhǔn)和指導(dǎo)文件相繼發(fā)布，為密評(píng)在重點(diǎn)領(lǐng)域和關(guān)鍵環(huán)節(jié)的開展提供了合規(guī)驅(qū)動(dòng)力和建設(shè)指引。

本案例的核心場(chǎng)景是云上應(yīng)用系統(tǒng)的密碼應(yīng)用和密碼測(cè)評(píng)，通過統(tǒng)一平臺(tái)、統(tǒng)一資源管理、統(tǒng)一運(yùn)營(yíng)服務(wù)的方式推進(jìn)商用密碼應(yīng)用和密碼測(cè)評(píng)，有助于規(guī)范密評(píng)市場(chǎng)秩序，同時(shí)加強(qiáng)了各地區(qū)、各部門、各機(jī)構(gòu)密評(píng)實(shí)踐的定向指導(dǎo)作用。

基于密碼技術(shù)實(shí)現(xiàn)云場(chǎng)景安全的統(tǒng)一服務(wù)平臺(tái)是根據(jù)商用密碼應(yīng)用安全性評(píng)估的要求構(gòu)建密碼服務(wù)體系，滿足信息系統(tǒng)密碼需求的同時(shí)，密碼服務(wù)平臺(tái)本身具有較好的迭代升級(jí)、綜合管理能力，為政務(wù)云信息系統(tǒng)提供標(biāo)準(zhǔn)化、合規(guī)化的基礎(chǔ)密碼能力。

同時(shí)密碼服務(wù)平臺(tái)支持密碼資源監(jiān)測(cè)功能，能夠準(zhǔn)確度量密碼服務(wù)平臺(tái)的各項(xiàng)指標(biāo)，量化說明CPU、帶寬、硬盤等各個(gè)密碼資源的使用情況；收集密碼服務(wù)狀態(tài)、密碼算法等相關(guān)數(shù)據(jù)，為密碼監(jiān)督管理提供基礎(chǔ)的數(shù)據(jù)能力，全力推動(dòng)商用密碼監(jiān)督管理由試點(diǎn)管理向行政許可銜接轉(zhuǎn)換。