CN109687956A - 一种统一给客户提供密钥管理和密钥运算服务系统 - Google Patents

Abstract

一种统一给客户提供密钥管理和密钥运算服务系统,包括业务部署层、服务层和应用层，其中，所述的业务部署层由业务处理服务器和密码机构成，所述的服务层由统一密码服务集群、数据库、Redis集群构成，所述的应用层由用户、移动终端、应用服务、CA认证服务器、KMS管理、LAM服务器构成，所述的业务部署层、服务层和应用层通过路由器或交换机相连；该系统不需要用应用程序才参与密钥管理的工作，密管系统提供应用web节界面便于用户界面完成加解密工作，同时提供RESTFUL服务接口方便用户调用，达到了增强易用性的有益效果；对常见的web攻击的防御，密管系统外部密钥都是由SPK密钥保护、保护SPK的密钥在加密机硬件内部，达到了增强密钥的安全性的有益效果。

Description

一种统一给客户提供密钥管理和密钥运算服务系统

技术领域

本发明涉及计算机、信息技术领域，尤其是一种基于Rest API统一给客户提供密钥管理和密钥运算服务系统。

背景技术

传统方式一般都是将密管系统作为项目的一部分作为开发，这样有两个弊端，首先，增加项目开发难度，其次，降低了密管系统的安全性；密管系统是和密码紧密关联的，它做了两件事情，第一件是它做了密钥管理的工作，第二件它做了密码运算的工作，这些工作都属于专业性、安全性非常高的专业，如果让应用程序去完成，加大应用实现的难度和复杂性，在从安全性上讲，将安全级别非常高的部分和普通项目放在一起，从而降低了密钥管理和密码运算的安全性。

发明内容

为了解决现有技术的不足，本发明提供了一种统一给客户提供密钥管理和密钥运算服务系统，该一种统一给客户提供密钥管理和密钥运算服务系统在从密钥生成、绑定、运算、生命周期结束、归档统一由密管系统完成，不需要用应用程序才参与密钥管理的工作，密管系统提供应用web节界面便于用户界面完成加解密工作，同时提供RESTFUL服务接口方便用户调用，达到了增强易用性的目的；对常见的web攻击的防御， 通讯安全性采用ssl/tls通讯方式，身份鉴别采用第三方认证方式对用户身份进行鉴别，密管系统外部密钥都是由SPK密钥保护、保护SPK的密钥在加密机硬件内部，达到了增强密钥的安全性的目的。

本发明解决其问题的技术方案是，包括业务部署层、服务层和应用层，其中，所述的业务部署层由业务处理服务器和密码机构成，所述的服务层由统一密码服务集群、数据库、Redis集群构成，所述的应用层由用户、移动终端、应用服务、CA认证服务器、KMS管理、LAM服务器构成，所述的业务部署层、服务层和应用层通过路由器或交换机相连；

该一种统一给客户提供密钥管理和密钥运算服务系统是这样实现的：

A、系统最初需要完成加密机初装工作，部署完成加密机后，需要用专用工具产生KEK和NPK，KEK用来保护SPK，KEK不出加密机，NPK为节点公钥，用来同步节点的SPK；产生KEK、NPK并需要用专用工具将同步到其它加密机上面，做加密机内部的KEK和NPK全节点一致;

B、创建数据库，完成数据库的安装，主备参数配置，单节点的数据库主要使用主备的方式部署，并创建表结构，测试数据库创建是否成功，初始化sql数据；

C、创建Redis集群，安装Redis，配置Redis集群，Redis采用主备方式，由keeplive监控并切换主备redis服务；

D、安装密码管理服务，配置信息，包括Redis的配置信息，Zookeeper的配置信息，数据库的配置信息，然后启动密码管理服务；

E、安装密码统一服务，配置信息，包括Redis的配置信息，Zookeeper的配置信息，数据库的配置信息，然后启动密码管接口服务；

F、安装Ngnix服务，配置信息，包括密码服务的IP以及其它相关的配置信息后， 启动Ngnix服务；

G、安装ELK服务，在每台需要收集的日志的服务器上配置好filebeat做为收集日志收集端，在在日志收集中心部署Elasticsearch和Kibana用日志的收集、分析、展示，完成以上部署后启动。

本发明的有益效果是：该一种统一给客户提供密钥管理和密钥运算服务系统在从密钥生成、绑定、运算、生命周期结束、归档统一由密管系统完成，不需要用应用程序才参与密钥管理的工作，密管系统提供应用web节界面便于用户界面完成加解密工作，同时提供RESTFUL服务接口方便用户调用，达到了增强易用性的有益效果；对常见的web攻击的防御，通讯安全性采用ssl/tls通讯方式，身份鉴别采用第三方认证方式对用户身份进行鉴别，密管系统系统外部密钥都是由SPK密钥保护、保护SPK的密钥在加密机硬件内部，达到了增强密钥的安全性的有益效果。

附图说明：

图1为本发明系统部署架构图。

下面结合附图对本发明进一步说明。

具体实施方式：

本发明的具体实施方式是，参照图1，包括业务部署层、服务层和应用层，其中，所述的业务部署层由业务处理服务器和密码机构成，所述的服务层由统一密码服务集群、数据库、Redis集群构成，所述的应用层由用户、移动终端、应用服务、CA认证服务器、KMS管理、LAM服务器构成，所述的业务部署层、服务层和应用层通过路由器或交换机相连；

参照图1，该一种统一给客户提供密钥管理和密钥运算服务系统是这样实现的：

A、系统最初需要完成加密机初装工作，部署完成加密机后，需要用专用工具产生KEK和NPK，KEK用来保护SPK，KEK不出加密机，NPK为节点公钥，用来同步节点的SPK；产生KEK、NPK并需要用专用工具将同步到其它加密机上面，做加密机内部的KEK和NPK全节点一致；

B、创建数据库，完成数据库的安装，主备参数配置，单节点的数据库主要使用主备的方式部署，并创建表结构，测试数据库创建是否成功，初始化sql数据；

C、创建Redis集群，安装Redis，配置Redis集群，Redis采用主备方式，由keeplive监控并切换主备redis服务；

D、安装密码管理服务，配置信息，包括Redis的配置信息，Zookeeper的配置信息，数据库的配置信息，然后启动密码管管理服务；

E、安装密码统一服务，配置信息，包括Redis的配置信息，Zookeeper的配置信息，数据库的配置信息，然后启动密码管接口服务；

F、安装Ngnix服务，配置信息，包括密码服务的IP以及其它相关的配置信息后， 启动Ngnix服务；

G、安装ELK服务，在每台需要收集的日志的服务器上配置好filebeat做为收集日志收集端，在在日志收集中心部署Elasticsearch和Kibana用日志的收集、分析、展示，完成以上部署后启动。

上述实施例仅为本发明较佳的实施例，是提供给本领域技术人员来实现和使用本发明的，本领域技术人员可在不脱离本发明的发明思想的情况下，对上述实施例做出种种修改或变 化，因而本发明的发明范围并不被上述实施例所限，任何基于本发明思想的修改或变化均在本发明保护范围内。

Claims (2)

1.一种统一给客户提供密钥管理和密钥运算服务系统,包括业务部署层、服务层和应用层，其特征是：所述的业务部署层由业务处理服务器和密码机构成，所述的服务层由统一密码服务集群、数据库、Redis集群构成，所述的应用层由用户、移动终端、应用服务、CA认证服务器、KMS管理、LAM服务器构成，所述的业务部署层、服务层和应用层通过路由器或交换机相连。

2.据权利要求1所述的一种统一给客户提供密钥管理和密钥运算服务系统，其特征是：该一种统一给客户提供密钥管理和密钥运算服务系统是这样实现的：

A、系统最初需要完成加密机初装工作，部署完成加密机后，需要用专用工具产生KEK和NPK，KEK用来保护SPK，KEK不出加密机，NPK为节点公钥，用来同步节点的SPK；产生KEK、NPK并需要用专用工具将同步到其它加密机上面，做加密机内部的KEK和NPK全节点一致;

B、创建数据库，完成数据库的安装，主备参数配置，单节点的数据库主要使用主备的方式部署，并创建表结构，测试数据库创建是否成功，初始化sql数据；

C、创建Redis集群，安装Redis，配置Redis集群，Redis采用主备方式，由keeplive监控并切换主备redis服务；

D、安装密码管理服务，配置信息，包括Redis的配置信息，Zookeeper的配置信息，数据库的配置信息，然后启动密码管管理服务；

E、安装密码统一服务，配置信息，包括Redis的配置信息，Zookeeper的配置信息，数据库的配置信息，然后启动密码管接口服务；

F、安装Ngnix服务，配置信息，包括密码服务的IP以及其它相关的配置信息后， 启动Ngnix服务；

G、安装ELK服务，在每台需要收集的日志的服务器上配置好filebeat做为收集日志收集端，在在日志收集中心部署Elasticsearch和Kibana用日志的收集、分析、展示，完成以上部署后启动。