DB15/T 2198-2021 大数据应用 云密码应用规范

ICS35.040

CCSL80

15

内蒙古自治区地方标准

DB15/T2198—2021

大数据应用云密码应用规范

Bigdataapplication——Cloudcryptographicapplicationspecification

2021-05-25发布2021-06-25实施

内蒙古自治区市场监督管理局发布

DB15/T2198—2021

目次

前言.................................................................................II

1范围...............................................................................1

2规范性引用文件.....................................................................1

3术语和定义.........................................................................1

4云密码应用总体架构.................................................................2

4.1概述...........................................................................2

4.2云密码建设要求.................................................................3

5云密码资源池.......................................................................4

5.1概述...........................................................................4

5.2框架图.........................................................................4

5.3云密码管理平台.................................................................4

5.4云密码服务.....................................................................4

5.5云密码资源.....................................................................5

5.6基础设施.......................................................................5

6云密码服务接口规范.................................................................5

6.1概述...........................................................................5

6.2接口说明.......................................................................6

附录A（资料性）云密码应用合规性参考表...............................................7

附录B（规范性）接口规范.............................................................9

参考文献.............................................................................18

I

DB15/T2198—2021

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

本文件由内蒙古自治区大数据中心提出并归口。

本文件起草单位：内蒙古自治区大数据中心、杭州安恒信息技术股份有限公司、内蒙古工业大学网

络空间安全研究所、杭州弗兰科信息安全科技有限公司。

本文件主要起草人：孙卫、包瑞林、杨扬、吴卓群、王钢、林明峰、戚志军、袁国平。

II

DB15/T2198—2021

大数据应用云密码应用规范

1范围

本文件规定了云密码应用总体技术架构，规定了云密码资源池和云密码服务接口的技术要求。

本文件适用于指导云密码建设和云平台中的用户终端、网络与接入、云平台服务、云安全管理对云

密码的应用。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T7408数据元和交换格式信息交换日期和时间表示法

GB/T31167信息安全技术云计算服务安全指南

GM/T0029签名验签服务器技术规范

GM/T0054信息系统密码应用基本要求

GM/T0062密码产品随机数检测要求

3术语和定义

下列术语和定义适用于本文件。

3.1

云密码cloudcryptographic

一种将云计算技术与身份认证、授权访问、传输加密、存储加密等密码技术深度融合，实现密码服

务云化的密码功能呈现模式。

3.2

云密码服务cloudcryptographicservice

按照云计算技术架构的要求整合密码产品、密码使用策略、密码服务接口和服务流程，将密码系统

设计、部署、运维、管理、计费等组合成一种服务，来解决用户的密码应用需求。

3.3

云密码应用cloudcryptographicapplication

通过使用云密码服务，实现密码功能的应用。

3.4

虚拟化virtualization

1

DB15/T2198—2021

一种资源管理技术，将计算机的各种实体资源（CPU、内存、磁盘空间、网络适配器等），予以抽

象、转换后呈现出来并可供分割、组合为一个或多个电脑配置环境。

3.5

数据退役dataretire

数据生命周期中的一个阶段，将被归档、转移、丢弃、销毁以及对存储介质的销毁处理后不再被使

用。

4云密码应用总体架构

4.1概述

云密码服务依托核心密码防护技术，借助云计算资源，对云计算平台提供密码支撑与应用设计能力。

从用户终端、网络与接入、云平台、云安全管理等角度，为云平台及云租户应用系统的安全可靠运行提

供全面高效的密码应用服务，保证云平台及上云系统符合国家法律法规、政策文件、标准规范的要求，

满足合规性、完整性和安全性要求。

云密码应用框架如图1所示，框架图分为上下两部分：

——上部分为云密码应用层，分为终端密码应用、网络与接入安全密码应用、云平台密码应用。

其中终端密码应用包含传统PC端、物联网终端、移动终端、安全浏览器、智能密码钥匙等中

涉及密码相关的应用；网络与接入安全密码应用包含了可信接入、访问控制、身份认证、

IPSecVPN网关、SSLVPN网关等网络通信与接入的密码相关应用；云平台密码应用包括云管理

平台与云应用平台，云应用平台涉及服务层与平台层，服务层中包含了云上托管业务密码应

用与云上数据，平台层中包含了资源、系统、存储等安全。以上终端密码应用、网络与接入

安全密码应用、云平台密码应用在使用密码服务时，均可通过调用密码资源池对外接口，为

身份认证、访问控制、授权管理、数据安全等信息安全功能提供基础和统一的密码支撑；

——下部分为密码资源池，基于云密码资源、密码基础设施，对外开放密码服务即接口，为云平

台及云租户提供统一的密码服务。

2

DB15/T2198—2021

图1云密码应用总体架构

4.2云密码建设要求

4.2.1环境安全

为确保云密码应用基础环境的安全，云密码服务在云端的建设应符合GB/T31167的要求。

4.2.2密码算法

云密码应用中凡涉及对称算法、非对称算法、杂凑算法时，需采用满足国家密码主管部门批准的算

法。

4.2.3秘钥隔离

根据不同的安全需求,云密码资源池需提供多种不同安全等级的密钥隔离机制。针对高安全等级场

景，能够支持基于硬件虚拟化技术实现的密钥隔离，以保证各个虚拟业务单元独享安全密码服务。

4.2.4访问控制

为保证云密码资源池提供的密码服务中接入应用的安全性，需结合多种认证模式，基于角色、服务、

身份对云密码服务进行访问授权控制。对于不同的业务服务模式，采取最合适的访问控制机制，同时，

借助访问控制机制，为云中密码服务的审计提供有效的技术支撑。

4.2.5云密码测评

云密码应用在规划阶段、建设阶段和运行阶段，需根据《商用密码应用安全性评估管理办法（试行）》

等相关要求，按照GM/T0054执行，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数

据安全四个层面采用密码技术措施，建立安全的密钥管理方案，采取有效的安全管理措施。云密码应用

通过云密码测评是项目验收的必要条件，云密码测评合规性参考表见附录A。

3

DB15/T2198—2021

5云密码资源池

5.1概述

构建云密码资源池，对外提供统一的密码服务是当前实现密码云化的一种有效方式。云密码资源池

将虚拟化技术和云管理技术应用在密码设备集群，把密码设备集群组织成“密码设备云”，形成集成化

的云密码服务资源池。

云密码资源池为云中数据提供全生命周期的安全服务，需通过硬件虚拟化技术，为多个应用系统提

供高速、可靠、可扩展的密钥管理服务、随机数服务、签名与验签服务、身份认证服务和加解密服务，

有效地提高密码资源的利用率。同时，云密码服务自身应能确保可伸缩、动态、高效的运行，具备抗攻

击能力。

5.2框架图

云密码资源池架构如图2所示，从上至下分为云密码管理平台、云密码服务、云计算密码资源和基

础设施。其中服务层包含云密码资源池的基础设施和虚拟化出的各类密码服务，包括加解密服务、身份

验证服务、签名验签服务、时间戳服务等，并通过统一的接口对外提供服务；云密码应用层是指通过云

密码服务提供的密码服务接口的使用对象，包括安全浏览器、安全网关、移动云安全服务平台等。基础

设施为云密码服务提供基础的物理密码运算资源。

图2密码资源池架构图

5.3云密码管理平台

云密码管理平台是云密码服务的支撑与运维平台。其中管理层的密钥管理与认证管理为云密码服务

提供密钥与证书的管理服务支撑；管理层的密码服务监管负责云密码服务的运维保障，包括监控云密码

设备、云机密算密码资源、密码应用及其运行状况，同时结合云平台的运维、安全等要求，对密码服务

资源池数据进行统一存储、备份和恢复。

5.4云密码服务

5.4.1统一身份认证服务

统一身份认证服务需基于密码资源池基础设施，对外提供统一身份认证活动。统一身份认证服务需

具备身份认证模块和权限管理模块，分别用于对用户或站点身份的管理和权限管理控制，同时对外提供

4

DB15/T2198—2021

用户注册、令牌获取以及身份验证的接口。首次使用身份认证服务需通过指定注册接口进行身份注册，

后续使用注册的授权信息（账号密码、数字签名等）登陆服务获取访问认证令牌，携令牌访问、请求其

他数据、资源时由统一身份认证服务确认认证该令牌的有效性。

5.4.2秘钥管理服务

密钥管理服务需基于密码资源池基础设施，对外提供密钥相关的支持活动，如密钥托管服务、密钥

安全隔离和存储服务、密钥安全访问服务、基于托管密钥的简单加解密服务等，并能够提供统一对外服

务接口。

5.4.3随机数服务

随机数服务需基于密码资源池基础设施，对外提供随机数服务，并能够提供统一对外服务接口。随

机数的产生需采用由国家密码管理局批准使用的方式，生成随机数的密码产品应符合GM/T0062的要求。

5.4.4签名验签服务

签名验签服务需基于密码资源池中签名验签服务器，对外提供签名验签服务，并能够提供统一对外

服务接口。密码资源池中签名验签服务器应符合GM/T0029的要求。

5.4.5加解密服务

加解密服务需基于密码资源池中密码机等设备，对外提供数据的加解密服务。加解算法需涵盖国家

密码主管部门批准的算法以及常用国际标准算法。加解密服务应对外提供统一加解密接口。

5.4.6时间戳服务

时间戳服务需基于密码资源池中来源于国家权威时间部门（如国家授时中心），或者使用国家权威

时间部门认可的硬件和方法获得的时间提供时间戳服务，时间格式要求应符合GB/T7408的格式要求，

并能够提供统一对外时间戳服务接口。

5.5云密码资源

云计算密码资源包括云计算密码设备池和密码设备的管理工具、基于密码基础支撑提供的密码设备，

为云平台及云租户提供独立的密码资源。云计算密码设备基于硬件加密平台，采用虚拟化技术在硬件平

台上同时运行多个虚拟化密码机。在提供密码设备基本功能的基础上，支持虚拟化部署。云密码设备应

符合国家密码管理部门的相关标准要求及通过检测审批。

5.6基础设施

云密码基础设施由密码物理设备建设的密码硬件资源池，包括密码机集群、密码机管理软件、签名

验签服务器、时间戳服务器、安全存储服务器、安全存储服务器等其它密码基础设施。

6云密码服务接口规范

6.1概述

云密码服务通过接口对外提供统一身份认证服务、密钥管理服务、随机数服务、签名验签服务、加

解密服务、时间戳服务。为了使云密码服务在具备通用性的同时保证提供服务的安全性，云密码服务接

口需要满足下述规范要求。接口的类型及使用格式见附录B。

5

DB15/T2198—2021

6.2接口说明

6.2.1通信协议

接口采用HTTP协议，使用HTTPPOST方式进行数据请求，编码格式统一为UTF-8编码，数据传输采用

HTTPS加密协议。

本规范不改变已有HTTP标准的任何定义，实现者可以充分利用开发语言的HTTP工具包进行扩充。

6.2.2数据格式

请求参数格式和相应数据格式为JSON，编码为：UTF-8。

6.2.3请求URL结构

URL按照如下结构定义：

:port/testcontrol

\__/\____________/\_______/

|||

schemeauthoritypath

URL参数说明见表1：

表1URL参数说明

字段说明

schema本接口规范规定schema采用https

authority提供API服务的主机名称（或IP）以及端口

path操作的目标资源的路径

6

DB15/T2198—2021

附录A

（资料性）

云密码应用合规性参考表

云密码应用合规性参考表见表A.1。

表A.1云密码应用合规性参考表

指标要求密码技术应用点采取措施

在系统所在机房部署安全电子门禁系统，使用国密规定

身份鉴别的算法（如，SM4）算法进行密钥分散，实现门禁卡的

一卡一密，并对人员身份进行鉴别。

电子门禁记录数据完整性在系统环境监控区部署服务器密码机，使用国密规定的

物理和环境安全

算法（如，HMAC-SM3）对电子门禁系统进出记录和视频

视频记录数据完整性

监控系统记录等数据进行完整性保护。

在安全电子门禁系统和服务器密码机中实现密码算法、

密码模块实现

密码技术、云密钥管理，云密码服务。

在系统网络接入区和数据灾备区分别部署IPSecVPN，

身份鉴别

对通信双方进行身份鉴别。

在系统网络接入区和数据灾备区分别部署IPSecVPN，

访问控制信息完整性

对访问控制信息进行完整性保护。

在网络接入区和数据灾备区分别部署IPSecVPN，对访

通信数据完整性问控制信息进行完整性保护；

网络和通信安全智能移动终端与本系统的通信数据机密性和完整性