本文件规定了云密码应用总体技术架构，规定了云密码资源池和云密码服务接口的技术要求。本文件适用于指导云密码建设和云平台中的用户终端、网络与接入、云平台服务、云安全管理对云密码的应用。
云密码服务依托核心密码防护技术，借助云计算资源，对云计算平台提供密码支撑与应用设计能力。从用户终端、网络与接入、云平台、云安全管理等角度，为云平台及云租户应用系统的安全可靠运行提供全面高效的密码应用服务，保证云平台及上云系统符合国家法律法规、政策文件、标准规范的要求，满足合规性、完整性和安全性要求。
云密码应用框架图分为上下两部分：
上部分为云密码应用层，分为终端密码应用、网络与接入安全密码应用、云平台密码应用。其中终端密码应用包含传统PC端、物联网终端、移动终端、安全浏览器、智能密码钥匙等中涉及密码相关的应用；网络与接入安全密码应用包含了可信接入、访问控制、身份认证、IPSecVPN网关、SSLVPN网关等网络通信与接入的密码相关应用；云平台密码应用包括云管理平台与云应用平台，云应用平台涉及服务层与平台层，服务层中包含了云上托管业务密码应用与云上数据，平台层中包含了资源、系统、存储等安全。以上终端密码应用、网络与接入安全密码应用、云平台密码应用在使用密码服务时，均可通过调用密码资源池对外接口，为身份认证、访问控制、授权管理、数据安全等信息安全功能提供基础和统一的密码支撑；
下部分为密码资源池，基于云密码资源、密码基础设施，对外开放密码服务即接口，为云平台及云租户提供统一的密码服务。
云密码应用规范
▼
（全文略）
为保证云密码资源池提供的密码服务中接入应用的安全性，需结合多种认证模式，基于角色、服务、身份对云密码服务进行访问授权控制。对于不同的业务服务模式，采取最合适的访问控制机制，同时，借助访问控制机制，为云中密码服务的审计提供有效的技术支撑。
云密码应用在规划阶段、建设阶段和运行阶段，需根据《商用密码应用安全性评估管理办法（试行）》等相关要求，按照GM/T 0054执行，从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层面采用密码技术措施，建立安全的密钥管理方案，采取有效的安全管理措施。云密码应用通过云密码测评是项目验收的必要条件，云密码测评合规性参考表见附录A。
构建云密码资源池，对外提供统一的密码服务是当前实现密码云化的一种有效方式。云密码资源池将虚拟化技术和云管理技术应用在密码设备集群，把密码设备集群组织成“密码设备云”，形成集成化的云密码服务资源池。
云密码资源池为云中数据提供全生命周期的安全服务，需通过硬件虚拟化技术，为多个应用系统提供高速、可靠、可扩展的密钥管理服务、随机数服务、签名与验签服务、身份认证服务和加解密服务，有效地提高密码资源的利用率。同时，云密码服务自身应能确保可伸缩、动态、高效的运行，具备抗攻击能力。
云密码管理平台是云密码服务的支撑与运维平台。其中管理层的密钥管理与认证管理为云密码服务提供密钥与证书的管理服务支撑；管理层的密码服务监管负责云密码服务的运维保障，包括监控云密码设备、云机密算密码资源、密码应用及其运行状况，同时结合云平台的运维、安全等要求，对密码服务资源池数据进行统一存储、备份和恢复。
云密码服务通过接口对外提供统一身份认证服务、密钥管理服务、随机数服务、签名验签服务、加解密服务、时间戳服务。为了使云密码服务在具备通用性的同时保证提供服务的安全性，云密码服务接口需要满足下述规范要求。
