①应用接口统一实现，应用按需接入。

②密码服务统一定义，服务按需部署。

③密码资源统一管理，资源按需分配。

④密码设备统一监管，租户按需管理。

2、依据的标准

l GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》

l GB/T22239-2019《信息安全技术信息系统安全等级保护基本要求》

l《商用密码管理条例》

l《信息安全等级保护密码管理办法》

l《信息安全等级保护商用密码技术要求》

l《电子签名法》

l GM/T 0003-2012《SM2椭圆曲线公钥密码算法》

l GM/T 0006-2012《密码应用标识规范》

l GM/T 0009-2012《SM2密码算法使用规范》

l GM/T 0010-2012《SM2密码算法加密签名消息语法规范》

l GM/T 0015-2012《基于SM2密码算法的数字证书格式规范》

l GM/T 0018-2012《密码设备应用接口规范》

l GM/T 0019-2012《通用密码服务接口规范》

l GM/T 0020-2012 《证书应用综合服务接口规范》

l GM/T 0021-2012 《动态口令密码应用技术规范》

l GM/T 0032-2014《基于角色的授权与访问控制技术规范》

l GM/T 0033-2014《时间戳接口规范》

l GM/T 0050-2016《密码设备管理设备管理技术规范》

l GM/T 0051-2016《密码设备管理对称密钥管理技术规范》

l GM/T 0088-2020《云服务器密码机管理接口规范》

3、总体架构

量子增强密码服务资源池总体架构如下图所示：

量子增强密码服务资源池包括密码基础平台、密码控制平面和密码服务平面三

个组成。

3.1 密码基础平台

3.2密码控制平面

部署在云平台环境下，控制平面可为云平台管理系统提供资源管理接口。

3.3密码服务平面

4、产品主要功能

（1 ）密码设备集中管理及状态监控

（2 ）租户及密码应用系统统一管理

（3 ）密码服务统一派生管理

量子增强密码服务资源池采用层次化和软件即服务架构设计，提供密码应用商店化管理模式，实现密码服务所见即所得管理模式。屏蔽底层密码技术和密钥管理的复杂性，根据应用需求选择相应的密码服务，并结合应用系统属性，实现密码服务派生管理，为应用系统快速生成专享密码服务环境。

（4 ）密码资源集中编排及分布式管理

依据租户或应用系统密码需求，采用系统内置资源编排算法，为应用系统自动生成密码资源管理模型。资源编排算法以提高资源利用效率，降低租户管理复杂度为优先原则，根据资源池中密码资源管理信息，为租户或应用系统自动分配应用和管理密码资源。

提供租户或应用系统对所属密码资源的管理功能，将租户所属密码资源展现为统一视图，方便用户对所属密码资源全生命周期的管理。

（5 ）租户密码服务安全隔离

通过虚拟化或容器技术，为租户或应用提供密码软件即服务的密码运算、密钥管理功能，租户和应用无需关心具体密码设备及密码基础设施配置部署情况。通过虚拟化服务或容器技术，实现租户或应用系统密码服务的相互隔离。

（6 ）密钥全生命周期安全管理

量子增强密码服务资源池包括两类密钥：资源池管理密钥和租户密钥。其中资源池管理密钥由经过授权的资源池管理员管理。租户密钥包括租户管理密钥以及应用密钥，由租户授权的管理员完成对密钥全生命周期的管理，资源池管理员以及其它租户都无法获任何密钥明文及属性信息。

（7 ）密码资源按需配置及动态扩展

基于密码服务资源池安全策略控制及服务安全隔离保障，可根据租户及应用系统密码应用需求，按需配置密码资源。在租户密码资源服务过程中，系统可根据密码服务响应能力，给出密码资源动态扩展建议。密码资源按需分配及动态扩展可支持对密码服务能力的扩展、密钥管理能力扩展以及密码设备资源的扩展。

（8 ）密码服务环境安全管理

量子增强密码服务资源池提供密码服务环境统一管理，提供密码服务环境的备份、恢复和安全迁移，不影响租户密码服务能力及密钥安全。

5、技术指标

5.1密码服务能力

密码服务是产品的核心能力，根据商用密码系列标准，产品密码服务能力

包括：

（1 ）通用密码服务：包括加解密服务，数字签名服务，杂凑算法服务、证书应用接口服务、密钥管理服务。依据租户和应用系统所需性能分配技术指标，密码服务能力以Mbps为单位，如对称加解密运算500Mbps,2000Mbps等。

（2 ）典型密码服务：包括时间戳服务、电子签章服务、授权及访问控制服务、身份鉴别服务、数据库加密服务。

（3 ）扩展密码服务：密钥在线申请服务、证书在线申请服务、单点登录服务、证书管理服务、动态口令服务等，系统可根据应用需求进行服务扩展。

（4）远程安全服务：支持  SSL或IPSec协议实现远程密码应用接入数据的机密性和完整性。

（5 ）密码服务的纵向和横向扩展：提供密码服务能力和服务性能的动态调整和扩展。

5.2 支持密码算法

（1）国密标准算法:包括SM1、SM2、SM3、SM4、SM6、SM9等国密标准算

法。

（2）非国密算法支持：根据应用系统需要，提供  RSA、SHA1/SHA2、DES/3DES、AES、MD5等密码算法，提供对使用非国密算法的系统信息的展示。

5.3密钥安全管理

（1 ）密钥分层分级管理：提供平台系统密钥和租户密钥分层管理。遵循基础密码服务要求，采用管理密钥、用户/设备密钥、会话密钥三层密钥结构，确保系统及租户密钥管理和使用合规性。

（2 ）全生命周期密钥安全管理：在产品部署后，提供系统密钥的产生、存储、使用、备份、恢复、归档等全生命周期管理。在生成租户密码服务环境后，租户管理员完成自身密钥的产生、存储、使用、备份、恢复、归档等全生命周期管理，确保密钥管理安全。

（3 ）细粒度的密钥使用策略：提供基于用户或具体应用的细粒度的密钥使用策略，确保仅租户中授权管理员和应用系统可以使用相应的密钥，保障密钥使用过程中的安全。

5.4系统分级管理功能

（1 ）平台统一管理：提供密码服务平台用户、应用、密码服务、应用接口、密码资源及资源分配状态、系统密钥、租户密码服务环境、密码资源回收等的统一管理。

（2 ）租户管理：为每个租户提供所属应用、密码资源、密码服务、应用接口、租户密钥、密码环境初始化、资源销毁等管理能力。

（3 ）云平台调用接口：部署于云环境中的密码服务资源池，为云平台提供统一的资源管理调度接口。

5.5 密码设备管理

（1 ）统一设备管理：提供资源池密码设备统一注册，密码服务特性统一管理等。

（2 ）统一设备接入：遵循各类型密码设备和系统相关技术规范，对密码设备证书和设备密钥进行管理。遵循各类型设备应用开发接口规范，将设备密码服务能力引入密码服务资源池。

（3）统一设备监控：遵循遵循  GM/T 0050-2016《密码设备管理--设备管理技术规范》，采用安全通道对设备运行状态进行统一监控和管理。

5.6应用接口

（1 ）提供多种密码服务接口：依据平台提供的密码服务能力，提供多种密码服务接口SDK，并发布相应的接口说明。接口类型定义包括但不限于SAF_FUNC、SOF_FUNC、SIF_FUNC、SPF_FUNC、STF_FUNC、SMS_FUNC等。

（2 ）支持主流软硬件平台：根据租户应用属性信息，提供不同平台应用系统接口，支持各类主流软硬件平台，并可针对特殊应用平台定制应用接口SDK，动态扩展。

（3）支持多种开发语言支持库：根据应用系统需求，提供  C、JAVA等主流开发语言SDK库，并可根据应用需求动态扩展对其它语言的支持。

5.7 弹性扩展

（1 ）支持密码资源的动态扩展：根据业务扩展需要，通过管理和控制平台的管控，可动态接入密码资源，包括对已有资源类型的增配以及新增不同厂商、不同设备类型的密码设备。

（2 ）支撑密码服务类型的弹性扩展：根据租户业务系统需要，可为租户或应用系统动态增加密码服务类型，实现服务类型的弹性扩展。

（3 ）支持密码服务性能的弹性扩展：根据租户密码计算和管理能力的需求调整，通过动态增加密码资源和扩展密码服务环境，实现密码服务性能的弹性扩展。

5.8 密码合规性测评支撑

通过对租户或应用系统密码应用需求、密码应用方案、密码接入状态、密码服务运行状态、密钥管理方案、密码服务备份与恢复等过程的管理，为密码应用合规性测评提供支撑，简化租户和应用系统管理员的工作压力，提升密码测评效率。

6、产品特性

（1 ）密码服务商店化

量子增强密码服务资源池采用密码服务商店发布模式，管理员可根据应用密码需求从密码商店中选择密码服务，快速生成密码应用SDK，交付租户或应用系统使用。

（2 ）密码业务平台化

量子增强密码服务资源池采用软件即服务的密码服务模式，基于云平台或虚拟化架构，通过对密码服务的软件编排，为每个租户生成专有密码服务环境，支持不同租户之间数据和配置的隔离，保证每个租户数据的安全性及配置管理的个性化需求。

（3 ）资源管理精细化

分析密码运算服务及密钥管理的共性特征，对资源池中密码资源精细化管理，在确保物理密码资源安全的前提下，实现密码设备利用最大化。各租户或者应用系统管理并使用自身独占的密码资源，包括对密码资源的初始化以及管理及应用。

（4 ）应用接入规范化

量子增强密码服务资源池通过对密码服务的抽象与归类，通过密码应用商店打造一站式密码服务，采用统一密码服务模型，根据应用密码需求为应用生成匹配的密码服务SDK，并可根据租户或应用系统密码需求的调整，动态调整应用密码服务SDK。密码服务资源池通过SDK服务约束应用系统密码接入、使用等过程中的合规性，切实满足密码应用系统密码需求。

（5 ）密码设备虚拟化

通过对密码设备的抽象、密码服务数据平面和控制平面分离、资源的细粒度管控，以租户密码应用需求为导向，实现密码设备的虚拟化管理、密码服务安全保障、密码资源的高效利用。

（6 ）密码管理可视化

量子增强密码服务资源池统一监控密码设备、密码服务的运行状态，形成“密码管理一张图”，对密码设备、密码资源使用、密码服务运行状态等进行统一管理，以图表的形式展示密码服务资源池各个层次密码运行健康状况，同时面向租户展示所属密码服务资源的运行状态。

（7 ）密码应用合规化

以统一的密码服务功能和密码服务模型为关键信息基础设施、重要应用提供身份识别、安全隔离、信息加密、完整性保护、抗抵赖等方面的密码防护能力，保障云平台、云上应用、数据中心等重要系统商用密码应用合规，推进密码测评以及基于密码服务资源池的安全改造，推动商用密码评估建设，完善商用密码技术使用的合规性、正确性和有效性，提高各租户密码应用与评估意识，进一步推动商用密码的应用落地。

（8 ）密码管理简单化

量子增强密码服务资源池通过对密码设施及密码服务的统一监控及运维，对租户管理人员屏蔽密码设备管理复杂性，租户密码管理人员中关注自身密码服务的健康状态以及对所属资源的安全管理即可。密码服务资源池通过对租户环境的备份管理，确保为租户提供不间断密码服务。

7、应用模式

7.1 产品形态

为确保产品与服务的可持续性和安全性，量子增强密码服务资源池采用独立部署的方式。云平台、数据中心或者应用系统集中的网络中，量子增强密码服务资源池作为独立密码系统接入到业务系统中心交换机中，提供密码资源服务。对于远程采用传输层安全保护的业务系统数据，采用SDN技术，将数据从中心交换机引流进入密码服务资源池VPN设备中处理后，传递到相应业务系统进一步处理。

租户或应用系统接入密码服务资源池一般采用“密码需求分析”+“密码方案设计”+“业务系统密码改造”+“密码资源配置”+“租户密码资源管理”几个步骤。