CN117413553A

CN117413553A - 密钥管理方法、装置、设备及存储介质

Info

Publication number: CN117413553A
Application number: CN202280001699.6A
Authority: CN
Inventors: 梁浩然; 陆伟
Original assignee: Beijing Xiaomi Mobile Software Co Ltd
Current assignee: Beijing Xiaomi Mobile Software Co Ltd
Priority date: 2022-05-13
Filing date: 2022-05-13
Publication date: 2024-01-16
Also published as: WO2023216273A1

Abstract

本申请公开了一种密钥管理方法、装置、设备及存储介质，涉及移动通信领域。该方法包括：接收归属网络中的AAnF发送的应用密钥确认请求。在漫游场景中，通过由归属网络中的AAnF向服务网络中的代理实体发送应用密钥确认请求，使得服务网络中的相关网元能够获知终端在漫游的场景下，与归属网络中的AF可建立基于AKMA的通信，从而实现在漫游场景下提供AKMA服务。

Description

密钥管理方法、装置、设备及存储介质

技术领域

本申请涉及移动通信领域，特别涉及一种密钥管理方法、装置、设备及存储介质。

背景技术

目前，基于第三代合作伙伴项目(3rd Generation Partnership Project，3GPP)凭证的应用认证与密钥管理(Authentication and Key Management for Applications，AKMA)已在邻近服务(Proximity based Service，ProSe)和第五代移动通信技术消息业务(Message within 5G，MSGin5G)等场景中，作为一种解决方案来保护终端与应用功能(Application Function，AF)之间通信。

但相关技术中，漫游场景下如何进行AKMA尚没有可行方案。

发明内容

本申请实施例提供了一种密钥管理方法、装置、设备及存储介质。所述技术方案如下：

根据本申请的一方面，提供了一种密钥管理方法，所述方法应用于漫游场景中，所述方法由服务网络中的代理实体执行，所述方法包括：

接收归属网络中的应用认证与密钥管理AKMA的锚点功能网元AAnF发送的应用密钥确认请求。

根据本申请的另一方面，提供了一种密钥管理方法，所述方法应用于漫游场景中，所述方法由归属网络中的AF执行，所述方法包括：

接收终端发送的服务网络标识符和AKMA密钥标识符；

向所述归属网络中的AAnF发送应用密钥获取请求，所述应用密钥获取请求携带有所述服务网络标识符，所述服务网络标识符用于触发所述AAnF在所述终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求；

接收所述AAnF反馈的应用密钥获取响应，所述应用密钥获取响应包括所述AF的AKMA应用密钥信息。

根据本申请的另一方面，提供了一种密钥管理方法，所述方法应用于漫游场景中，所述方法由归属网络中的AAnF执行，所述方法包括：

接收所述归属网络中的AF发送的应用密钥获取请求，所述应用密钥获取请求携带有服务网络标识符；

基于终端的AKMA密钥生成所述AF的AKMA应用密钥；

向所述AF反馈应用密钥获取响应，所述应用密钥获取响应包括所述AF的AKMA应用密钥信息；

向服务网络中的代理实体发送应用密钥确认请求。

根据本申请的另一方面，提供了一种密钥管理方法，所述方法应用于漫游场景中，所述方法由终端执行，所述方法包括：

向归属网络中的AF发送服务网络标识符和AKMA密钥标识符，所述服务网络标识符用于触发所述归属网络中的AAnF在所述终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求，所述AKMA密钥标识符为所述终端的AKMA密钥的标识符。

根据本申请的另一方面，提供了一种密钥管理装置，所述装置应用于漫游场景中，所述装置包括：

接收模块，用于接收归属网络中的应用认证与密钥管理AKMA的锚点功能网元AAnF发送的应用密钥确认请求。

在一个可选的设计中，应用密钥确认请求包括如下中的至少一种：

AKMA应用密钥；

AKMA应用密钥的过期时间；

AF标识符；

AKMA密钥标识符；

终端的签约永久标识SUPI；

其中，AF标识符为归属网络中的AF的标识符，AKMA密钥标识符为终端的AKMA密钥的标识符。

在一个可选的设计中，应用密钥确认请求是AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向代理实体发送的。

在一个可选的设计中，所述装置还包括：

发送模块，用于向AAnF发送应用密钥确认响应。

在一个可选的设计中，所述装置还包括：

存储模块，用于存储应用密钥确认请求。

在一个可选的设计中，代理实体是在终端的服务网络标识符与归属网络标识符不同的情况下，由AAnF在服务网络的网元中确定的。

在一个可选的设计中，代理实体是由AAnF在服务网络的网元中，通过服务网络和归属网络中的网络存储功能NRF发现的。

在一个可选的设计中，代理实体的信息是在AAnF的本地配置的。

在一个可选的设计中，代理实体是服务网络中单独的网络功能NF；或

代理实体是服务网络中任一NF的一部分；或

代理实体是3GPP运营商域内的可信应用功能。

接收模块，用于接收终端发送的服务网络标识符和AKMA密钥标识符；

发送模块，用于向归属网络中的AAnF发送应用密钥获取请求，应用密钥获取请求携带有服务网络标识符，服务网络标识符用于触发AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求；

接收模块，还用于接收AAnF反馈的应用密钥获取响应，应用密钥获取响应包括AF的AKMA应用密钥信息。

在一个可选的设计中，AKMA应用密钥信息包括如下中的至少一种：

AKMA应用密钥；

AKMA应用密钥的过期时间；

终端的SUPI。

在一个可选的设计中，发送模块，用于：

在AF需要终端标识的情况下，向AAnF发送第一应用密钥获取请求。

在一个可选的设计中，第一应用密钥获取请求包括如下中的至少一种：

AKMA密钥标识符；

AF标识符；

其中，AKMA密钥标识符为终端的AKMA密钥的标识符，AF标识符为归属网络中的AF的标识符。

在一个可选的设计中，第一应用密钥获取请求包括AKMA密钥标识符和服务网络标识符；

AKMA密钥标识符携带有服务网络标识符；或第一应用密钥获取请求通过单独的字段携带服务网络标识符。

在一个可选的设计中，发送模块，用于：

在归属网络中的AF不需要终端标识的情况下，向归属网络中的AAnF发送第二应用密钥获取请求。

在一个可选的设计中，第二应用密钥获取请求包括如下中的至少一种：

AKMA密钥标识符；

AF标识符；

在一个可选的设计中，第二应用密钥获取请求包括AKMA密钥标识符和服务网络标识符；

AKMA密钥标识符携带有服务网络标识符；或第二应用密钥获取请求通过单独的字段携带服务网络标识符。

在一个可选的设计中，AF是否需要终端标识，是由AF中的策略指示的。

在一个可选的设计中，接收模块，用于：

接收AAnF反馈的错误响应，错误响应是在AAnF中未存储有终端的AKMA密钥的情况下发送的；

发送模块，用于向终端发送错误响应。

在一个可选的设计中，所述装置还包括：

发现模块，用于通过归属网络中的NRF发现AAnF。

在一个可选的设计中，接收模块，用于：

接收终端发送的应用会话建立请求，应用会话建立请求携带有服务网络标识符；

发送模块，用于向终端反馈应用会话建立响应。

在一个可选的设计中，应用会话建立请求包括AKMA的AKMA密钥标识符，AKMA密钥标识符携带有服务网络标识符；或应用会话建立请求包括AKMA密钥标识符和服务网络标识符；

其中，AKMA密钥标识符为终端的AKMA密钥的标识符。

在一个可选的设计中，发送模块，用于：

在接收到AAnF反馈的错误响应的情况下，向终端反馈应用会话的拒绝信息，拒绝信息中包括响应失败原因。

在一个可选的设计中，AKMA密钥标识符采用网络访问标识符NAI格式。

接收模块，用于接收归属网络中的AF发送的应用密钥获取请求，应用密钥获取请求携带有服务网络标识符；

生成模块，用于基于终端的AKMA密钥生成AF的AKMA应用密钥；

发送模块，用于向AF反馈应用密钥获取响应，应用密钥获取响应包括AF的AKMA应用密钥信息；

发送模块，还用于向服务网络中的代理实体发送应用密钥确认请求。

AKMA应用密钥；

AKMA应用密钥的过期时间；

终端的SUPI。

在一个可选的设计中，接收模块，用于：

接收AF发送的第一应用密钥获取请求，第一应用密钥获取请求用于指示AF需要终端标识。

AKMA密钥标识符；

AF标识符；

其中，AKMA密钥标识符为终端的AKMA密钥的标识符，AF标识符为AF的标识符。

在一个可选的设计中，接收模块，用于：

接收AF发送的第二应用密钥获取请求，第二应用密钥获取请求用于指示AF不需要终端标识。

AKMA密钥标识符；

AF标识符；

在一个可选的设计中，在AAnF接收到第二应用密钥获取请求的情况下，AAnF反馈的AKMA应用密钥信息不包括终端的SUPI。

在一个可选的设计中，发送模块，用于：

在AAnF中未存储有终端的AKMA密钥的情况下，向AF反馈错误响应。

在一个可选的设计中，所述装置还包括：

确定模块，用于根据授权信息或策略，确定AAnF向AF及服务网络中的代理实体提供服务。

在一个可选的设计中，授权信息或策略，由本地策略或归属网络中的NRF提供。

AKMA应用密钥；

AKMA应用密钥的过期时间；

AF标识符；

AKMA密钥标识符；

终端的SUPI；

其中，AF标识符为AF的标识符，AKMA密钥标识符为终端的AKMA密钥的标识符。

在一个可选的设计中，发送模块，用于：

在终端的服务网络标识符与归属网络标识符不同的情况下，向代理实体发送应用密钥确认请求。

在一个可选的设计中，接收模块，用于：

接收代理实体发送的应用密钥确认响应。

在一个可选的设计中，所述装置还包括：

确定模块，用于在终端的服务网络标识符与归属网络标识符不同的情况下，在服务网络的网元中确定代理实体。

在一个可选的设计中，确定模块，用于：

在终端的服务网络标识符与归属网络标识符不同的情况下，在服务网络的网元中，通过服务网络和归属网络中的NRF发现代理实体。

根据本申请的另一方面，提供了一种密钥管理装置，装置应用于漫游场景中，装置包括：

发送模块，用于向归属网络中的AF发送服务网络标识符和AKMA密钥标识符，服务网络标识符用于触发归属网络中的AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求，AKMA密钥标识符为终端的AKMA密钥的标识符。

在一个可选的设计中，发送模块，用于：

向AF发送应用会话建立请求，应用会话建立请求携带有服务网络标识符；

装置还包括：

接收模块，用于接收AF反馈的应用会话建立响应。

其中，AKMA密钥标识符为终端的AKMA密钥的标识符。

根据本申请的另一方面，提供了一种服务网络中的代理实体，所述代理实体包括通信组件；

通信组件，用于接收归属网络中的应用认证与密钥管理AKMA的锚点功能网元AAnF发送的应用密钥确认请求。

根据本申请的另一方面，提供了一种应用功能AF，所述AF包括通信组件；

通信组件，用于接收终端发送的服务网络标识符和AKMA密钥标识符；

向所述归属网络中的AAnF发送应用密钥获取请求，所述应用密钥获取请求携带有所述服务网络标识符，所述服务网络标识符用于触发所述归属网络中的AAnF在所述终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求；

接收所述归属网络中的AAnF反馈的应用密钥获取响应，所述应用密钥获取响应包括所述归属网络中的AF的AKMA应用密钥信息。

根据本申请的另一方面，提供了一种应用认证与密钥管理AKMA的锚点功能网元AAnF，所述AAnF包括通信组件和处理器；

通信组件，用于接收所述归属网络中的AF发送的应用密钥获取请求，所述应用密钥获取请求携带有服务网络标识符；

处理器，用于基于终端的AKMA密钥生成所述归属网络中的AF的AKMA应用密钥；

通信组件，用于向所述归属网络中的AF反馈应用密钥获取响应，所述应用密钥获取响应包括所述归属网络中的AF的AKMA应用密钥信息；

通信组件，用于向服务网络中的代理实体发送应用密钥确认请求。

根据本申请的另一方面，提供了一种终端，所述终端包括收发器；

收发器，用于向归属网络中的AF发送服务网络标识符和AKMA密钥标识符，所述服务网络标识符用于触发所述归属网络中的AAnF在所述终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求，所述AKMA密钥标识符为所述终端的AKMA密钥的标识符。

根据本申请的另一方面，提供了一种计算机可读存储介质，所述可读存储介质中存储有可执行指令，所述可执行指令由处理器加载并执行以实现如上述方面所述的密钥管理方法。

根据本申请的另一方面，提供了一种芯片，所述芯片包括可编程逻辑电路和/或程序指令，当所述芯片在计算机设备上运行时，用于实现上述方面所述的密钥管理方法。

根据本申请的另一方面，提供了一种计算机程序产品或计算机程序，所述计算机程序产品或计算机程序包括计算机指令，所述计算机指令存储在计算机可读存储介质中，处理器从所述计算机可读存储介质读取并执行所述计算机指令，使得计算机设备执行上述方面所述的密钥管理方法。

本申请提供的技术方案至少包括如下有益效果：

在漫游场景中，通过由归属网络中的AAnF向服务网络中的代理实体发送应用密钥确认请求，使得服务网络中的相关网元能够获知终端在漫游的场景下，与归属网络中的AF可建立基于AKMA的通信，从而实现在漫游场景下提供AKMA服务。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请一个示例性实施例提供的AKAM服务的网络架构图；

图2是本申请一个示例性实施例提供的生成AKMA密钥的流程图；

图3是本申请一个示例性实施例提供的通信系统的系统架构的示意图；

图4是本申请一个示例性实施例提供的密钥管理方法的流程图；

图5是本申请一个示例性实施例提供的密钥管理方法的流程图；

图6是本申请一个示例性实施例提供的密钥管理方法的流程图；

图7是本申请一个示例性实施例提供的密钥管理方法的流程图；

图8是本申请一个示例性实施例提供的密钥管理方法的流程图；

图9是本申请一个示例性实施例提供的密钥管理方法的流程图；

图10是本申请一个示例性实施例提供的密钥管理方法的流程图；

图11是本申请一个示例性实施例提供的密钥管理方法的流程图；

图12是本申请一个示例性实施例提供的密钥管理方法的流程图；

图13是本申请一个示例性实施例提供的密钥管理装置的结构框图；

图14是本申请一个示例性实施例提供的密钥管理装置的结构框图；

图15是本申请一个示例性实施例提供的密钥管理装置的结构框图；

图16是本申请一个示例性实施例提供的密钥管理装置的结构框图；

图17是本申请一个示例性实施例提供的通信设备的结构示意图；

图18是本申请一个示例性实施例提供的网元设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本公开使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本公开。在本公开和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本公开可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本公开范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

首先，对本申请实施例涉及的相关技术背景进行介绍：

第五代移动通信技术(5th Generation Mobile Communication Technology，5G)系统：

5G系统包括终端、接入网和核心网。其中，终端是具有无线收发功能的设备，该终端可以部署在陆地上、水面上和空中等。该终端可以应用于无人驾驶(Self Driving)、远程医疗(Remote Medical)、智能电网(Smart Grid)、运输安全(Transportation Safety)、智慧城市(Smart City)、智慧家庭(Smart Home)等中的至少一个场景中。

接入网用于实现接入有关的功能，可以为特定区域的授权用户提供入网功能。接入网在终端与核心网之间转发控制信号和用户数据。接入网可以包括接入网设备，接入网设备可以是为终端提供接入的设备，可以包括无线接入网(Radio Access Network，RAN)设备和接入网(Access Network，AN)设备。RAN设备主要是3GPP网络中的无线网络设备，AN设备可以是非3GPP定义的接入网设备。在采用不同的无线接入技术的系统中，具备基站功能的设备的名称可能会有所不同。例如，在5G系统中，称为RAN或下一代基站(Next Generation Node Basestation，gNB)；在长期演进(Long Term Evolution，LTE)系统中，称为演进的节点B(evolved NodeB，eNB或eNodeB)。

核心网负责维护移动网络的签约数据，为终端提供会话管理、移动性管理、策略管理以及安全认证等功能。核心网可以包括如下网元：用户面功能(User Plane Function，UPF)、认证服务功能(Authentication Server Function，AUSF)、接入和移动性管理功能(Access and Mobility Management Function，AMF)、会话管理功能(Session Management Function，SMF)、网络开放功能(Network Exposure Function，NEF)、网络功能仓储功能(Network Function Repository Function，NRF)、策略控制功能(Policy Control Function，PCF)和统一数据管理(Unified Data Management，UDM)。可选地，还可以包括应用功能(Application Function，AF)和统一数据存储库(Unified Data Repository，UDR)。

AMF，主要负责移动网络中的移动性管理，例如用户位置更新、用户注册网络、用户切换等。SMF，主要负责移动网络中的会话管理，例如会话建立、修改、释放。UPF，负责终端中用户数据的转发和接收，可以从数据网络接收用户数据，通过接入网设备传输给终端；还可以通过接入网设备从终端接收用户数据，转发至数据网络。PCF，主要支持提供统一的策略框架来控制网络行为，提供策略规则给控制层网络功能，同时负责获取与策略决策相关的用户签约信息。AUSF，用于执行终端的安全认证。NEF，主要用于支持能力和事件的开放。NRF，用于为其它网元提供网络功能实体信息的存储功能和选择功能。UDM，用于存储用户数据，例如签约数据、鉴权/授权数据等。AF与3GPP核心网交互用于提供应用层服务，例如提供关于应用层数据路由，提供接入网络能力开放功能，与策略框架进行交互以提供策略控制，与5G网络的IP多媒体子系统(IP Multimedia Subsystem，IMS)交互等。

数据网络(Data Network，DN)用于为用户提供业务服务，可以是私有网络，例如局域网；也可以是不受运营商管控的外部网络，例如互联网(Internet)；还可以是运营商共同部署的专有网络，例如IMS的网络。终端可通过建立的协议数据单元(Protocol Data Unit，PDU)会话，来访问DN。

应当理解，在本申请的一些实施例中，“5G”也可以称为“5G新空口(New Radio，NR)”或“NR”，“终端”也可以称为“终端设备”或“用户设备(User Equipment，UE)”。本申请的一些实施例中描述的技术方案可以适用于5G系统，也可以适用于5G系统后续的演进系统，还可以适用于6G以及后续的演进系统。

基于3GPP凭证的AKMA服务：

支持AKMA服务的UE，在与支持AKMA服务的AF进行数据传输时，可以基于AKMA流程的安全保护以提高数据传输的安全性。例如，AF对应于某个视频应用服务器，支持AKMA服务的UE与该AF进行数据传输时，相比于传统UE和AF的无保护的传输方法，使用AKMA服务可提高数据传输的安全性。

示例性的，图1是本申请一个示例性实施例提供的AKAM服务的网络架构图。如图1所示，该网络架构包括UE、接入网(Radio Access Network，(R)AN)、AUSF、AMF、AF、NEF、AKMA的锚点功能网元(AKMA Anchor Function，AAnF)和UDM。如图1所示，UE与AF进行通信存在三种方式，第一种是UE通过(R)AN和AMF与AF进行通信，第二种是UE通过AMF与AF进行通信，第三种是UE通过Ua*接口直接与AF进行通信。其中，Ua*接口为UE与AF之间的通信接口。在AKMA服务中，AUSF可以生成AKMA服务的密钥(即AKMA密钥)，并向AAnF提供UE的AKMA服务的密钥。其中，AKMA服务的密钥可以是K _AKMA，也可以称为AKMA服务的根密钥。UE侧也会自己生成相同的AKMA服务的密钥，即生成相同的K _AKMA。

图2是本申请一个示例性实施例提供的生成AKMA密钥的流程图。如图2所示，UE在向5G核心网注册的过程中，UE通过RAN向AMF发送注册请求，注册请求携带UE的身份信息(例如隐藏的身份标识(Subscriber Concealed Identifier，SUCI))。AMF根据UE的身份信息选择AUSF，向选择的AUSF发送消息触发主鉴权流程。该AUSF对UE进行鉴权，向AMF发送鉴权参数，之后AMF通过RAN向UE发送鉴权参数，UE根据鉴权参数对AUSF进行鉴权，并通过RAN向AMF发送响应，AMF对比响应，符合则鉴权成功。图2中的主鉴权(Primary Authentication)，即为注册过程中，AUSF对UE进行鉴权，以及UE对AUSF进行鉴权的过程，主鉴权也可以称为双向鉴权。在主鉴权之后，AUSF可以使用主鉴权过程中生成的中间密钥，如K _AUSF，生成K _AKMA，以及为K _AKMA生成密钥标识信息，密钥标识信息可用于标识K _AKMA，例如可以是K _AKMA标识(K _AKMA Identifier，A-KID)。UE可在主鉴权之后，发起AKMA服务之前，使用主鉴权过程中生成的中间密钥，如K _AUSF，生成K _AKMA以及为K _AKMA生成密钥标识信息。需要说明的是，UE和AUSF分别在本地生成相同的K _AUSF、K _AKMA以及密钥标识信息。

结合图1以及图2的示例，AAnF可以与AUSF进行交互，从AUSF获取AKMA服务的密钥，并根据AKMA服务的密钥和AF的标识，生成该AF与UE之间的通信密钥以及该通信密钥的有效时间。AAnF可将该通信密钥以及该通信密钥的有效时间发送至该AF，以便该AF可以使用该通信密钥与UE进行数据传输，从而提高该AF与UE之间的数据传输的安全性。其中，AF与UE之间的通信密钥，例如可以是K _AF。

对于不同AF与同一UE之间的K _AF可以不同，例如AF1与UE1之间的K _AF为K _AF1，AF2与UE1之间的K _AF为K _AF2。图1中，AF可以与3GPP核心网网元交互。例如，AF可以从PCF获得服务质量(Quality of Service，QoS)参数，或AF向PCF提供QoS参数，进而可以影响应用程序的数据传输。再例如，AF可以与NEF交互。在AKMA服务的场景中，AF从AAnF获取该AF与UE之间的通信密钥以及该通信密钥的有效时间。AF可以位于5G核心网内部，也可以位于5G核心网外部。若AF位于5G核心网内部，那么AF可直接与PCF进行交互；若AF位于5G核心网外部，那么AF可通过NEF与PCF进行交互。

需要说明的是，上述AKMA服务的方案应用于非漫游场景，即终端当前的服务网络与终端的归属网络相同，并且AAnF以及AF属于终端的归属网络。而在漫游场景下，即终端当前的服务网络与终端的归属网络不同，或终端的服务网络为访问网络(也可称为拜访网络)的情况下，如何进行AKMA目前尚没有可行方案。其中，终端的归属网络与访问网络不同。

本申请实施例提供的方法，在漫游场景中，通过终端向归属网络中的AF发送服务网络标识符，并由归属网络中的AF向归属网络中的AAnF发送携带有服务网络标识符的应用密钥获取请求，从而使得归属网络中的AAnF根据服务网络标识符判断终端处于漫游场景的情况下，能够在服务网络的网元中确定服务网络中的代理实体，并向其发送应用密钥确认请求，使得服务网络中的相关网元获知终端与归属网络中的AF可建立基于AKMA的通信，从而实现在漫游场景下提供AKMA服务。

图3示出了本申请一个实施例提供的通信系统的系统架构的示意图。该系统架构可以包括：终端10、接入网设备20和核心网设备30。

终端10可以指UE(User Equipment，用户设备)、接入终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、无线通信设备、用户代理或用户装置。可选地，终端还可以是蜂窝电话、无绳电话、SIP(Session Initiation Protocol，会话启动协议)电话、WLL(Wireless Local Loop，无线本地环路)站、PDA(Personal Digita1Assistant，个人数字处理)、具有无线通信功能的手持设备、计算设备或连接到无线调制解调器的其它处理设备、车载设备、可穿戴设备，5GS(5th Generation System，第五代移动通信系统)中的终端或未来演进的PLMN(Pub1ic Land Mobi1e Network，公用陆地移动通信网络)中的终端等，本申请实施例对此并不限定。为方便描述，上面提到的设备统称为终端。终端10的数量通常为多个，每一个接入网设备20所管理的小区内可以分布一个或多个终端10。

接入网设备20是一种部署在接入网中用以为终端10提供无线通信功能的设备。接入网设备20可以包括各种形式的宏基站，微基站，中继站，接入点等等。在采用不同的无线接入技术的系统中，具备接入网设备功能的设备的名称可能会有所不同，例如在5G NR系统中，称为gNodeB或gNB。随着通信技术的演进，“接入网设备”这一名称可能会变化。为方便描述，本申请实施例中，上述为终端10提供无线通信功能的装置统称为接入网设备。可选地，通过接入网设备20，终端10和核心网设备30之间可以建立通信关系。示例性地，在LTE系统中，接入网设备20可以是EUTRAN(Evolved Universal Terrestrial Radio Access Network，演进的通用陆地无线网)或EUTRAN中的一个或多个eNodeB；在5G NR系统中，接入网设备20可以是RAN或RAN中的一个或多个gNB。

核心网设备30的功能主要是提供用户连接、对用户的管理以及对业务完成承载，作为承载网络提供到外部网络的接口。例如，5G NR系统中的核心网设备可以包括AMF(Access and Mobility Management Function，接入和移动性管理功能)实体、UPF(User Plane Function，用户平面功能)实体、SMF(Session Management Function，会话管理功能)实体、AKMA的锚点功能(AKMA Anchor Function，AAnF)实体和应用功能(Application Function，AF)实体等设备。接入网设备20和核心网设备30可统称为网络设备。

在一个示例中，接入网设备20与核心网设备30之间通过某种空中技术相互通信，例如5G NR系统中的NG接口。接入网设备20与终端10之间通过某种空中技术互相通信，例如Uu接口。

本申请实施例提供了一种密钥管理方法，用于在漫游场景下，生成位于归属网络中的AF与终端之间的通信密钥。其中，同一个终端与不同的AF之间的通信密钥可以相同或不同，本申请实施例仅针对位于归属网络中的某一个AF与终端之间的通信密钥进行说明。

在本申请实施例提供的密钥管理方法中，存在至少一个终端、至少一个AF、至少一个AAnF、至少一个代理实体。示意性的，本申请实施例提供的密钥管理方法应用于漫游场景中，AF和AAnF位于终端的归属网络中，终端和代理实体位于服务网络中。

其中，终端可使用UE表示，服务网络中的代理实体可使用AAnFProxy表示；归属网络与服务网络的覆盖范围不同，或相同，或有重合。

在一些实施例中，该AAnFProxy是服务网络中的单独的网络功能(Nextwork Function，NF)；或该AAnFProxy是服务网络中任一NF中的一部分；或该AAnFProxy是3GPP运营商域内的可信应用功能(Trusted AF)。

在一些实施例中，该终端类型包括但不限于手持设备、可穿戴设备、车载设备和物联网设备等，该终端可以是手机、平板电脑、电子书阅读器、膝上便携计算机、台式计算机、电视机、游戏机、增强现实(Augmented Reality，AR)终端、虚拟现实(Virtual Reality，VR)终端和混合现实(Mixed Reality，MR)终端、可穿戴设备、手柄和控制器等中的至少一种。

图4示出了本申请一个实施例提供的密钥管理方法的流程图。该方法应用于漫游场景中，该方法可以应用于图3所示的系统中。该方法包括：

步骤402：终端向归属网络中的AF发送应用会话建立请求。

示意性的，在归属网络中的AF与终端进行通信之前，需要确定二者之间是否可以使用AKMA服务。在步骤402之前，通过终端与AUSF之间的主鉴权流程，以使得终端和AUSF分别在本地生成相同的K _AUSF、K _AKMA以及A-KID。其中，主鉴权流程可参考前述内容，不再赘述。

可选地，归属网络中的AF与终端进行通信的先决条件是隐式特定应用于终端和AF的，或是由AF向终端显式指示的。

示意性的，应用会话建立请求用于触发应用会话的建立请求，应用会话建立请求可用Application Session Establishment Request表示。其中，应用会话建立请求中携带有AKMA密钥标识符和服务网络标识符，AKMA密钥标识符可用A-KID表示。

其中，A-KID为终端的AKMA密钥的标识符，服务网络标识符用于指示终端的服务网络，用于触发归属网络中的AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求。

可选地，TS 33.535中限定了A-KID应采用国际互联网工程任务组(The Internet Engineering Task Force，IETF)请求注解(Request For Comments，RFC)7542中条款2.2规定的归属网络标识(Network Access Identifier，NAI)格式，比如：用户名@安全域。该用户名部分应包含路由指示(Routing Indicator，RID)和AKMA临时终端标识(AKMA Temporary UE Identifier，A-TID)，该安全域部分应包含归属网络标识。

可选地，该应用会话建立请求携带有终端的服务网络标识符可包括如下至少两种情况：

第一种情况：应用会话建立请求包括AKMA的AKMA密钥标识符，AKMA密钥标识符携带有服务网络标识符；

第二种情况：应用会话建立请求包括AKMA密钥标识符和服务网络标识符。其中，AKMA密钥标识符为终端的AKMA密钥的标识符。

可选地，应用会话建立请求中包括A-KID，终端还可以在应用会话建立请求之前或之后单独发送终端的服务网络标识符，可选地，该服务网络标识符指示有对应的应用会话建立请求或A-KID。

步骤404：归属网络中的AF向归属网络中的AAnF发送应用密钥获取请求。

该应用密钥获取请求携带有终端的服务网络标识符。归属网络中的AF在接收到终端发送的应用会话建立请求后，会向归属网络中的AAnF发送应用密钥获取请求。该应用密钥获取请求用于向归属网络中的AAnF请求归属网络中的AF的AKMA应用密钥信息。

在步骤404中，根据归属网络中的AF中的策略的不同，归属网络中的AF向归属网络中的AAnF发送的应用密钥获取请求也不同。

针对归属网络中的AF需要终端标识的情况：

在归属网络中的AF需要终端标识的情况下，归属网络中的AF向归属网络中的AAnF发送第一应用密钥获取请求。示例性的，第一应用密钥获取请求可使用Naanf_AKMA_ApplicationKey_Get Request表示。

可选地，第一应用密钥获取请求包括如下中的至少一种：

·AKMA密钥标识符；

·AF标识符。

其中，AKMA密钥标识符为终端的AKMA密钥的标识符，AF标识符为归属网络中的AF的标识符。示例性的，AKMA密钥标识符可用A-KID表示，AF标识符可用AF_ID表示。A-KID由归属网络中的AF从终端处获取。可选地，AF_ID包含AF的全限定域名(Fully Qualified Domain Name，FQDN)和Ua*安全协议标识符。其中，Ua*安全协议标识符用于指示AF将与UE一起使用的安全协议。

可选地，第一应用密钥获取请求包括AKMA密钥标识符和服务网络标识符(还可以包括AF标识符)。AKMA密钥标识符携带有服务网络标识符；或第一应用密钥获取请求通过单独的字段携带服务网络标识符。即第一应用密钥获取请求能够通过上述两种方式，实现携带服务网络标识符。

针对归属网络中的AF不需要终端标识的情况：

在归属网络中的AF不需要终端标识的情况下，归属网络中的AF向归属网络中的AAnF发送第二应用密钥获取请求。示例性的，第二应用密钥获取请求可使用Naanf_AKMA_ApplicationKey_AnonUser_Get Request表示。

可选地，第二应用密钥获取请求包括如下中的至少一种：

·AKMA密钥标识符；

·AF标识符。

其中，AKMA密钥标识符为终端的AKMA密钥的标识符，AF标识符为归属网络中的AF的标识符。A-KID和AF_ID的相关描述可参考前述内容，此处不再赘述。

可选地，第二应用密钥获取请求包括AKMA密钥标识符和服务网络标识符(还可以包括AF标识符)。AKMA密钥标识符携带有服务网络标识符；或第二应用密钥获取请求通过单独的字段携带服务网络标识符。即第二应用密钥获取请求能够通过上述两种方式，实现携带服务网络标识符。

可选地，归属网络中的AF是否需要终端标识，是由归属网络中的AF中的策略指示的。

可选地，AKMA密钥标识符采用网络访问标识符NAI格式。示例地，TS 33.535中限定了A-KID应采用IETF RFC 7542中条款2.2规定的归属网络标识(Network Access Identifier，NAI)格式，比如：用户名@安全域。该用户名部分应包含路由指示(Routing Indicator，RID)和AKMA临时终端标识(AKMA Temporary UE Identifier，A-TID)，该安全域部分应包含归属网络标识。

可选地，在执行步骤103之前，归属网络中的AF还需要确定归属网络中的AAnF，例如归属网络中的AF通过归属网络中的NRF发现归属网络中的AAnF。

步骤406：归属网络中的AAnF基于终端的AKMA密钥生成归属网络中的AF的AKMA应用密钥。

其中，AKMA应用密钥(AKMA Application Key，K _AF)用于指示终端和归属网络中的AF之间的通信密钥。示意性的，AKMA应用密钥基于终端的AKMA密钥生成。因此，执行步骤406需要满足如下条件：归属网络中的AAnF存储有终端的AKMA密钥。

其中，AKMA应用密钥的获取可通过如下方式实现：归属网络中的AAnF根据应用密钥获取请求得到A-KID和AF_ID。之后，归属网络中的AAnF可基于AKMA密钥和AF_ID生成AKMA应用密钥。

可选地，归属网络中的AAnF可根据A-KID对应的终端的AKMA密钥的存在，来验证终端是否被授权使用AKMA服务。

可选地，在执行步骤406之前，归属网络中的AAnF还需要执行如下步骤：根据授权信息或策略，确定归属网络中的AAnF向归属网络中的AF及服务网络中的代理实体提供服务。可选地，授权信息或策略，由本地策略或归属网络中的NRF提供。示例地，归属网络中的AAnF根据AF_ID关联的授权信息或策略，确定归属网络中的AAnF是否可以向归属网络中的AF及服务网络中的代理实体提供服务。

其中，在归属网络中的AAnF可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF执行步骤406；在归属网络中的AAnF不可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF可拒绝执行步骤406，并向归属网络中的AF反馈错误响应。

步骤408：归属网络中的AAnF向归属网络中的AF反馈应用密钥获取响应。

该应用密钥获取响应包括归属网络中的AF的AKMA应用密钥信息。可选地，AKMA应用密钥信息包括如下中的至少一种：

·AKMA应用密钥；

·AKMA应用密钥的过期时间；

·终端的签约永久标识(Subscription Permanent Identifier，SUPI)。

可选地，在归属网络中的AAnF中未存储有终端的AKMA密钥的情况下，归属网络中的AAnF会向归属网络中的AF反馈错误响应。

根据步骤404，归属网络中的AF向归属网络中的AAnF发送的应用密钥获取请求可能不同。相应的，归属网络中的AAnF向访问归属网络中的AF发送的应用密钥获取响应也不同。

针对归属网络中的AF需要终端标识的情况：

可选地，在归属网络中的AF需要终端标识的情况下，归属网络中的AAnF会接收到第一应用密钥获取请求。在生成AKMA应用密钥后，归属网络中的AAnF向归属网络中的AF发送第一应用密钥获取响应。

可选地，第一应用密钥获取响应可使用Naanf_AKMA_ApplicationKey_Get Response表示。

其中，第一应用密钥获取响应中携带的AF的AKMA应用密钥信息包括如下信息中的至少一种：AKMA应用密钥、AKMA应用密钥的过期时间、终端的SUPI。AKMA应用密钥的过期时间可使用K _AF expTime表示。

针对归属网络中的AF不需要终端标识的情况：

可选地，在归属网络中的AF不需要终端标识的情况下，归属网络中的AAnF会接收到第二应用密钥获取请求。在生成AKMA应用密钥后，归属网络中的AAnF向归属网络中的AF发送第二应用密钥获取响应。

可选地，第二应用密钥获取响应可使用Naanf_AKMA_ApplicationKey_AnonUser_Get Response表示。

可选地，在归属网络中的AAnF接收到第二应用密钥获取请求的情况下，归属网络中的AAnF反馈的AKMA应用密钥信息不包括终端的SUPI，即该第二应用密钥获取响应不包括终端的SUPI。其中，第二应用密钥获取响应中携带的AF的AKMA应用密钥信息包括如下信息中的至少一种：AKMA应用密钥、AKMA应用密钥的过期时间。

步骤410：归属网络中的AAnF向服务网络中的代理实体发送应用密钥确认请求。

该应用密钥确认请求可通过AKMA Application Key Comfirmation Request表示。可选地，在终端的服务网络标识符与归属网络标识符不同的情况下，即终端处于漫游的情况下，归属网络中的AAnF会向服务网络中的代理实体发送应用密钥确认请求。在终端的服务网络标识符与归属网络标识符相同的情况下，则不会执行步骤410，而是在步骤408之后直接执行步骤414。

可选地，归属网络中的AAnF向服务网络中的代理实体发送应用密钥确认请求，是在归属网络中的AAnF向归属网络中的AF反馈应用密钥获取响应之前、之后或同时进行的。可选地，应用密钥确认请求包括如下中的至少一种：

·AKMA应用密钥；

·AKMA应用密钥的过期时间；

·AF标识符；

·AKMA密钥标识符；

·终端的SUPI。

其中，AF标识符为归属网络中的AF的标识符，AKMA密钥标识符为终端的AKMA密钥的标识符。可选地，AKMA密钥标识符中存储有终端的归属网络标识符。

需要说明的是，在终端的服务网络标识符与归属网络标识符不同的情况下，归属网络中的AAnF需要先在服务网络的网元中确定服务网络中的代理实体，之后才能够向服务网络中的代理实体发送应用密钥确认请求。可选地，在终端的服务网络标识符与归属网络标识符不同的情况下，归属网络中的AAnF在服务网络的网元中，通过服务网络和归属网络中的NRF发现服务网络中的代理实体。

其中，以归属网络中的NRF使用hNRF表示，服务网络中的NRF使用vNRF表示为例，归属网络中的AAnF发现服务网络中的代理实体的过程可实现为如下：归属网络中的AAnF通过服务网络标识符确定hNRF；hNRF根据归属网络中的AAnF传送的服务网络标识符，能够确定vNRF；vNRF根据预设策略判断归属网络中的AAnF有权为归属网络中的AF服务，随后授权归属网络中的AAnF访问服务网络中的代理实体。或服务网络中的代理实体的信息是在归属网络中的AAnF的本地配置的。此时归属网络中的AAnF无需通过NRF来发现服务网络中的代理实体。

可选地，上述服务网络中的代理实体是服务网络中单独的NF；或服务网络中的代理实体是服务网络中任一NF的一部分；或服务网络中的代理实体是3GPP运营商域内的可信应用功能。

步骤412：服务网络中的代理实体向归属网络中的AAnF发送应用密钥确认响应。

该应用密钥确认响应可通过AKMA Application Key Confirmation Response表示。该应用密钥确认响应用于服务网络中的代理实体向归属网络中的AAnF通知其已获知终端与归属网络中的AF可建立基于AKMA的通信，以及相关的AKMA应用密钥信息。可选地，在接收到归属网络中的AAnF发送的应用密钥确认请求后，服务网络中的代理实体会存储该应用密钥确认请求，之后再向归属网络中的AAnF发送应用密钥确认响应。

步骤414：归属网络中的AF向终端反馈应用会话建立响应。

该应用会话建立响应与应用会话建立请求对应，用于反馈归属网络中的AF的AKMA应用密钥信息，可用Application Session Establishment Response表示。终端在接收到应用会话建立响应后，可根据应用会话建立响应中携带的AF的AKMA应用密钥信息，确定AKMA应用密钥。

在一种实现场景下，归属网络中的AAnF中未携带终端的AKMA密钥。

在该情况下，归属网络中的AAnF向归属网络中的AF发送错误响应。在接收到归属网络中的AAnF反馈的错误响应的情况下，归属网络中的AF会向终端反馈应用会话的拒绝信息，拒绝信息中包括响应失败原因。基于此，归属网络中的AF通过包含响应失败原因来拒绝建立应用会话。

可选地，在终端接收到归属网络中的AF反馈的应用会话的拒绝信息后，终端可重新发送应用会话建立请求，该应用会话建立请求中携带有新的A-KID和/或服务网络标识符。

应当理解的是，上述内容中给出的实施例中，UE一侧的步骤可单独成为应用于终端中的密钥管理方法的一个实施例，归属网络中的AAnF一侧的步骤可单独成为应用于归属网络中的AAnF中的密钥管理方法的一个实施例，归属网络中的AF一侧的步骤可单独成为应用于归属网络中的AF中的密钥管理方法的一个实施例，服务网络中的代理实体一侧的步骤可单独成为应用于服务网络中的代理实体中的密钥管理方法的一个实施例。其中，密钥管理方法的步骤的具体阐释可参考上述内容，不再赘述。

综上所述，本实施例提供的方法，在漫游场景中，通过终端向归属网络中的AF发送服务网络标识符，并由归属网络中的AF向归属网络中的AAnF发送携带有服务网络标识符的应用密钥获取请求，从而使得归属网络中的AAnF根据服务网络标识符判断终端处于漫游场景的情况下，能够在服务网络的网元中确定服务网络中的代理实体，并向其发送应用密钥确认请求，使得服务网络中的相关网元获知终端与归属网络中的AF可建立基于AKMA的通信，从而实现在漫游场景下提供AKMA服务。

图5示出了本申请一个实施例提供的密钥管理方法的流程图。该方法应用于漫游场景中，该方法可以应用于服务网络中的代理实体。该方法包括：

步骤502：接收归属网络中的AAnF发送的应用密钥确认请求。

该应用密钥确认请求可通过AKMA Application Key Comfirmation Request表示。该应用密钥确认请求是在归属网络中的AAnF根据归属网络中的AF发送的应用密钥获取请求，确定了归属网络中的AF的AKMA应用密钥，并向归属网络中的AF反馈应用密钥获取响应的情况下，由归属网络中的AAnF向服务网络中的代理实体发送的。该应用密钥确认请求用于归属网络中的AAnF向服务网络中的代理实体通知在漫游的场景下，终端与归属网络中的AF可建立基于AKMA的通信，以及相关的AKMA应用密钥信息。

可选地，应用密钥确认请求是归属网络中的AAnF，在终端的服务网络标识符与归属网络标识符不同的情况下，即终端处于漫游的情况下，向服务网络中的代理实体发送的。终端会向归属网络中的AF发送服务网络标识符，归属网络中的AF向归属网络中的AAnF发送的应用密钥获取请求中携带有该服务网络标识符，归属网络中的AAnF根据该服务网络标识符能够判断终端是否处于漫游。

可选地，AKMA密钥标识符中存储有终端的服务网络标识符。终端通过向归属网络中的AF发送AKMA密钥标识符，从而实现向归属网络中的AF发送服务网络标识符。或终端的服务网络标识符也能够是终端直接向归属网络中的AF发送的。例如，终端向归属网络中的AF发送应用会话建立请求，该应用会话建立请求包括AKMA密钥标识符以及服务网络标识符。或终端在向归属网络中的AF发送应用会话建立请求之前或之后，单独发送服务网络标识符。该服务网络标识符用于触发归属网络中的AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求。

可选地，应用密钥确认请求包括如下中的至少一种：

·AKMA应用密钥；

·AKMA应用密钥的过期时间；

·AF标识符；

·AKMA密钥标识符；

·终端的SUPI。

可选地，服务网络中的代理实体在接收归属网络中的AAnF发送的应用密钥确认请求后，还会向归属网络中的AAnF发送应用密钥确认响应。可选地，服务网络中的代理实体会先存储应用密钥确认请求，之后再向归属网络中的AAnF发送应用密钥确认响应。该应用密钥确认响应可通过AKMA Application Key Confirmation Response表示。

可选地，服务网络中的代理实体是在终端的服务网络标识符与归属网络标识符不同的情况下，由归属网络中的AAnF在服务网络的网元中确定的。例如，服务网络中的代理实体是在终端的服务网络标识符与归属网络标识符不同的情况下，由归属网络中的AAnF在服务网络的网元中，通过服务网络和归属网络中的网络存储功能NRF发现的。或服务网络中的代理实体的信息是在归属网络中的AAnF的本地配置的。此时归属网络中的AAnF无需通过NRF来发现服务网络中的代理实体。

综上所述，本实施例提供的方法，在漫游场景中，通过由归属网络中的AAnF向服务网络中的代理实体发送应用密钥确认请求，使得服务网络中的相关网元能够获知终端在漫游的场景下，与归属网络中的AF可建立基于AKMA的通信，从而实现在漫游场景下提供AKMA服务。

图6示出了本申请一个实施例提供的密钥管理方法的流程图。该方法应用于漫游场景中，该方法可以应用于归属网络中的AF。该方法包括：

步骤602：接收终端发送的服务网络标识符和AKMA密钥标识符。

示意性的，服务网络标识符用于指示终端的服务网络，该服务网络标识符用于触发归属网络中的AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求。AKMA密钥标识符为终端的AKMA密钥的标识符。

在一种可选的实现场景下，终端发生移动，从归属网络的覆盖区域移动到服务网络的覆盖区域内。此时，终端向归属网络中的AF发送服务网络标识符，该服务网络标识符与服务网络对应，由此可判断终端处于漫游场景下。

服务网络标识符可由终端单独发送给归属网络中的AF，也可以在终端向归属网络中的AF发送的应用会话建立请求中携带。例如，归属网络中的AF接收终端发送的应用会话建立请求，应用会话建立请求携带有服务网络标识符。

其中，服务网络标识符可由应用会话建立请求中的AKMA密钥标识符携带，也可由专用字段携带。比如，应用会话建立请求包括AKMA的AKMA密钥标识符，AKMA密钥标识符携带有服务网络标识符；或应用会话建立请求包括AKMA密钥标识符和服务网络标识符。其中，AKMA密钥标识符为终端的AKMA密钥的标识符。应用会话建立请求用于触发应用会话的建立请求，应用会话建立请求可用Application Session Establishment Request表示。

步骤604：向归属网络中的AAnF发送应用密钥获取请求。

该应用密钥获取请求携带有终端的服务网络标识符。归属网络中的AF在接收到终端发送的服务网络标识符(应用会话建立请求)后，会向归属网络中的AAnF发送应用密钥获取请求。该应用密钥获取请求用于向归属网络中的AAnF请求归属网络中的AF的AKMA应用密钥信息。

可选地，根据归属网络中的AF中的策略的不同，归属网络中的AF向归属网络中的AAnF发送的应用密钥获取请求也不同。

针对归属网络中的AF需要终端标识的情况：

可选地，第一应用密钥获取请求包括如下中的至少一种：

·AKMA密钥标识符；

·AF标识符。

其中，AKMA密钥标识符为终端的AKMA密钥的标识符，AF标识符为归属网络中的AF的标识符。可选地，第一应用密钥获取请求包括AKMA密钥标识符和服务网络标识符(还可以包括AF标识符)。AKMA密钥标识符携带有服务网络标识符；或第一应用密钥获取请求通过单独的字段携带服务网络标识符。即第一应用密钥获取请求能够通过上述两种方式，实现携带服务网络标识符。

针对归属网络中的AF不需要终端标识的情况：

可选地，第二应用密钥获取请求包括如下中的至少一种：

·AKMA密钥标识符；

·AF标识符。

其中，AKMA密钥标识符为终端的AKMA密钥的标识符，AF标识符为归属网络中的AF的标识符。可选地，第二应用密钥获取请求包括AKMA密钥标识符和服务网络标识符(还可以包括AF标识符)。AKMA密钥标识符携带有服务网络标识符；或第二应用密钥获取请求通过单独的字段携带服务网络标识符。即第二应用密钥获取请求能够通过上述两种方式，实现携带服务网络标识符。

可选地，AKMA密钥标识符采用网络访问标识符NAI格式。可选地，归属网络中的AF还需要确定归属网络中的AAnF，例如归属网络中的AF通过归属网络中的NRF发现归属网络中的AAnF。

步骤606：接收归属网络中的AAnF反馈的应用密钥获取响应。

该应用密钥获取响应包括归属网络中的AF的AKMA应用密钥信息。在归属网络中的AAnF存储有终端的AKMA密钥的情况下，归属网络中的AAnF会基于终端的AKMA密钥生成归属网络中的AF的AKMA应用密钥。AKMA应用密钥用于指示终端和归属网络中的AF之间的通信密钥。

可选地，上述AKMA应用密钥信息包括如下中的至少一种：

·AKMA应用密钥；

·AKMA应用密钥的过期时间；

·终端的SUPI。

在步骤604中，归属网络中的AF向归属网络中的AAnF发送的应用密钥获取请求可能不同。相应的，归属网络中的AAnF向访问归属网络中的AF发送的应用密钥获取响应也不同。

针对归属网络中的AF需要终端标识的情况：

针对归属网络中的AF不需要终端标识的情况：

归属网络中的AF在接收到终端发送的应用会话建立请求的情况下，会基于上述应用密钥获取响应，向终端反馈应用会话建立响应。

可选地，在归属网络中的AAnF中未存储有终端的AKMA密钥的情况下，归属网络中的AF会接收归属网络中的AAnF反馈的错误响应，该错误响应是在归属网络中的AAnF中未存储有终端的AKMA密钥的情况下发送的。在该情况下，归属网络中的AF会向终端发送错误响应。例如，在接收到归属网络中的AAnF反馈的错误响应的情况下，归属网络中的AF会向终端反馈应用会话的拒绝信息，拒绝信息中包括响应失败原因。

综上所述，本实施例提供的方法，在漫游场景中，通过终端向归属网络中的AF发送服务网络标识符，并由归属网络中的AF向归属网络中的AAnF发送携带有服务网络标识符的应用密钥获取请求，从而使得归属网络中的AAnF根据服务网络标识符判断终端处于漫游场景的情况下，能够向服务网络中的代理实体发送应用密钥确认请求，使得服务网络中的相关网元获知终端与归属网络中的AF可建立基于AKMA的通信，从而实现在漫游场景下提供AKMA服务。

图7示出了本申请一个实施例提供的密钥管理方法的流程图。该方法应用于漫游场景中，该方法可以应用于归属网络中的AAnF。该方法包括：

步骤702：接收归属网络中的AF发送的应用密钥获取请求，应用密钥获取请求携带有服务网络标识符。

该应用密钥获取请求携带有终端的服务网络标识符。该服务网络标识符用于触发归属网络中的AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求。

归属网络中的AF在接收到终端发送的应用会话建立请求后，会向归属网络中的AAnF发送应用密钥获取请求。该应用密钥获取请求用于向归属网络中的AAnF请求归属网络中的AF的AKMA应用密钥信息。

针对归属网络中的AF需要终端标识的情况：

可选地，第一应用密钥获取请求包括如下中的至少一种：

·AKMA密钥标识符；

·AF标识符。

其中，AKMA密钥标识符为终端的AKMA密钥的标识符，AF标识符为归属网络中的AF的标识符。示例性的，AKMA密钥标识符可用A-KID表示，AF标识符可用AF_ID表示。可选地，第一应用密钥获取请求包括AKMA密钥标识符和服务网络标识符(还可以包括AF标识符)。AKMA密钥标识符携带有服务网络标识符；或第一应用密钥获取请求通过单独的字段携带服务网络标识符。即第一应用密钥获取请求能够通过上述两种方式，实现携带服务网络标识符。

针对归属网络中的AF不需要终端标识的情况：

可选地，第二应用密钥获取请求包括如下中的至少一种：

·AKMA密钥标识符；

·AF标识符。

可选地，AKMA密钥标识符采用网络访问标识符NAI格式。

可选地，在执行步骤702之前，归属网络中的AF还需要确定归属网络中的AAnF。例如归属网络中的AF通过归属网络中的NRF发现归属网络中的AAnF。

步骤704：基于终端的AKMA密钥生成归属网络中的AF的AKMA应用密钥。

AKMA应用密钥用于指示终端和归属网络中的AF之间的通信密钥。示意性的，AKMA应用密钥基于终端的AKMA密钥生成。因此，在归属网络中的AAnF存储有终端的AKMA密钥的情况下，归属网络中的AAnF基于终端的AKMA密钥生成归属网络中的AF的AKMA应用密钥。

可选地，在执行步骤704之前，归属网络中的AAnF还需要执行如下步骤：根据授权信息或策略，确定归属网络中的AAnF向归属网络中的AF及服务网络中的代理实体提供服务。可选地，授权信息或策略，由本地策略或归属网络中的NRF提供。示例地，归属网络中的AAnF根据AF_ID关联的授权信息或策略，确定归属网络中的AAnF是否可以向归属网络中的AF及服务网络中的代理实体提供服务。

其中，在归属网络中的AAnF可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF执行步骤704；在归属网络中的AAnF不可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF可拒绝执行步骤704，并向归属网络中的AF反馈错误响应。

步骤706：向归属网络中的AF反馈应用密钥获取响应。

·AKMA应用密钥；

·AKMA应用密钥的过期时间；

·终端的SUPI。

可选地，归属网络中的AF向归属网络中的AAnF发送的应用密钥获取请求可能不同。相应的，归属网络中的AAnF向访问归属网络中的AF发送的应用密钥获取响应也不同。

针对归属网络中的AF需要终端标识的情况：

针对归属网络中的AF不需要终端标识的情况：

步骤708：向服务网络中的代理实体发送应用密钥确认请求。

该应用密钥确认请求可通过AKMA Application Key Comfirmation Request表示。可选地，在终端的服务网络标识符与归属网络标识符不同的情况下，即终端处于漫游的情况下，归属网络中的AAnF会向服务网络中的代理实体发送应用密钥确认请求。可选地，应用密钥确认请求包括如下中的至少一种：

·AKMA应用密钥；

·AKMA应用密钥的过期时间；

·AF标识符；

·AKMA密钥标识符；

·终端的SUPI。

可选地，归属网络中的AAnF在向服务网络中的代理实体发送应用密钥确认请求后，还会接收服务网络中的代理实体发送的应用密钥确认响应。该应用密钥确认响应可通过AKMA Application Key Confirmation Response表示。可选地，在接收到归属网络中的AAnF发送的应用密钥确认请求后，服务网络中的代理实体会存储该应用密钥确认请求，之后再向归属网络中的AAnF发送应用密钥确认响应。

综上所述，本实施例提供的方法，在漫游场景中，通过接收归属网络中的AF发送的携带有服务网络标识符的应用密钥获取请求，使得归属网络中的AAnF根据服务网络标识符判断终端处于漫游场景的情况下，能够在服务网络的网元中确定服务网络中的代理实体，并向其发送应用密钥确认请求，使得服务网络中的相关网元获知终端与归属网络中的AF可建立基于AKMA的通信，从而实现在漫游场景下提供AKMA服务。

图8示出了本申请一个实施例提供的密钥管理方法的流程图。该方法应用于漫游场景中，该方法可以应用于终端。该方法包括：

步骤802：向归属网络中的AF发送服务网络标识符和AKMA密钥标识符。

服务网络标识符用于指示终端的服务网络，该服务网络标识符用于触发归属网络中的AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求。AKMA密钥标识符为终端的AKMA密钥的标识符。

终端在向归属网络中的AF发送应用会话建立请求后，归属网络中的AF会向归属网络中的AAnF发送应用密钥获取请求，该应用密钥获取请求携带有终端的服务网络标识符。之后由归属网络中的AAnF基于终端的AKMA密钥生成归属网络中的AF的AKMA应用密钥，并向归属网络中的AF反馈应用密钥获取响应，从而使得归属网络中的AF向终端反馈应用会话建立响应。并且，在终端的服务网络标识符与归属网络标识符不同的情况下，即终端处于漫游的情况下，归属网络中的AAnF会向服务网络中的代理实体发送应用密钥确认请求。该应用密钥确认请求用于归属网络中的AAnF向服务网络中的代理实体通知在漫游的场景下，终端与归属网络中的AF可建立基于AKMA的通信，以及相关的AKMA应用密钥信息。

综上所述，本实施例提供的方法，在漫游场景中，通过终端向归属网络中的AF发送服务网络标识符，使得归属网络中的AAnF根据服务网络标识符判断终端处于漫游场景的情况下，能够向服务网络中的代理实体发送应用密钥确认请求，使得服务网络中的相关网元获知终端与归属网络中的AF可建立基于AKMA的通信，从而实现在漫游场景下提供AKMA服务。

参考图5-8，图9示出了本申请一个示例性实施例提供的密钥管理方法的流程图，应用于漫游场景下。该方法包括：

步骤902：终端向归属网络中的AF发送服务网络标识符和AKMA密钥标识符。

步骤904：归属网络中的AF向归属网络中的AAnF发送应用密钥获取请求。

在步骤904中，根据归属网络中的AF中的策略的不同，归属网络中的AF向归属网络中的AAnF发送的应用密钥获取请求也不同。

针对归属网络中的AF需要终端标识的情况：

可选地，第一应用密钥获取请求包括如下中的至少一种：

·AKMA密钥标识符；

·AF标识符。

针对归属网络中的AF不需要终端标识的情况：

可选地，第二应用密钥获取请求包括如下中的至少一种：

·AKMA密钥标识符；

·AF标识符。

可选地，AKMA密钥标识符采用网络访问标识符NAI格式。

可选地，在执行步骤904之前，归属网络中的AF还需要确定归属网络中的AAnF，例如归属网络中的AF通过归属网络中的NRF发现归属网络中的AAnF。

步骤906：归属网络中的AAnF基于终端的AKMA密钥生成归属网络中的AF的AKMA应用密钥。

AKMA应用密钥用于指示终端和归属网络中的AF之间的通信密钥。示意性的，AKMA应用密钥基于终端的AKMA密钥生成。因此，执行步骤906需要满足如下条件：归属网络中的AAnF存储有终端的AKMA密钥。

可选地，在执行步骤906之前，归属网络中的AAnF还需要执行如下步骤：根据授权信息或策略，确定归属网络中的AAnF向归属网络中的AF及服务网络中的代理实体提供服务。可选地，授权信息或策略，由本地策略或归属网络中的NRF提供。示例地，归属网络中的 AAnF根据AF_ID关联的授权信息或策略，确定归属网络中的AAnF是否可以向归属网络中的AF及服务网络中的代理实体提供服务。

其中，在归属网络中的AAnF可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF执行步骤906；在归属网络中的AAnF不可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF可拒绝执行步骤906，并向归属网络中的AF反馈错误响应。

步骤908：归属网络中的AAnF向归属网络中的AF反馈应用密钥获取响应。

·AKMA应用密钥；

·AKMA应用密钥的过期时间；

·终端的SUPI。

归属网络中的AF向归属网络中的AAnF发送的应用密钥获取请求可能不同。相应的，归属网络中的AAnF向访问归属网络中的AF发送的应用密钥获取响应也不同。

针对归属网络中的AF需要终端标识的情况：

针对归属网络中的AF不需要终端标识的情况：

步骤910：归属网络中的AAnF向服务网络中的代理实体发送应用密钥确认请求。

·AKMA应用密钥；

·AKMA应用密钥的过期时间；

·AF标识符；

·AKMA密钥标识符；

·终端的SUPI。

可选地，服务网络中的代理实体在接收到归属网络中的AAnF发送的应用密钥确认请求后，还会向归属网络中的AAnF发送应用密钥确认响应。该应用密钥确认响应可通过AKMA Application Key Confirmation Response表示。该应用密钥确认响应用于服务网络中的代理实体向归属网络中的AAnF通知其已获知终端与归属网络中的AF可建立基于AKMA的通信，以及相关的AKMA应用密钥信息。可选地，在接收到归属网络中的AAnF发送的应用密钥确认请求后，服务网络中的代理实体会存储该应用密钥确认请求，之后再向归属网络中的AAnF发送应用密钥确认响应。

可选地，归属网络中的AF在接收到归属网络中的AAnF反馈的应用密钥获取响应后，还会向终端反馈应用会话建立响应。该应用会话建立响应与应用会话建立请求对应，用于反馈归属网络中的AF的AKMA应用密钥信息，可用Application Session Establishment Response表示。终端在接收到应用会话建立响应后，可根据应用会话建立响应中携带的AF的AKMA应用密钥信息，确定AKMA应用密钥。

在一种实现场景下，归属网络中的AAnF中未携带终端的AKMA密钥。在该情况下，归属网络中的AAnF向归属网络中的AF发送错误响应。在接收到归属网络中的AAnF反馈的错误响应的情况下，归属网络中的AF会向终端反馈应用会话的拒绝信息，拒绝信息中包括响应失败原因。基于此，归属网络中的AF通过包含响应失败原因来拒绝建立应用会话。

根据前述内容，基于归属网络中的AF中的策略的不同，应用密钥获取请求和应用密钥获取响应存在差异，由此导致归属网络中的AF的AKMA应用密钥信息也存在差异。

可选的，AKMA应用密钥信息包括如下中的至少一种：归属网络中的AF的AKMA应用密钥；AKMA应用密钥的过期时间；终端的SUPI。其中，该种情况是在归属网络中的AF需要终端标识的情况下实现的。

可选的，AKMA应用密钥信息包括如下中的至少一种：服务网络中的AF的AKMA应用密钥；AKMA应用密钥的过期时间。其中，该种情况是在归属网络中的AF不需要终端标识的情况下实现的。

上述两种实现方式中，基于归属网络中的AF的策略的不同，来确定归属网络中的AF是否需要终端标识，从而确定需要请求的AF的AKMA应用密钥信息。以下将根据归属网络中的AF是否需要终端标识进行举例：

一、针对归属网络中的AF需要终端标识的情况。

图10示出了本申请一个示例性实施例提供的密钥管理方法的流程图，应用于漫游场景下。该方法包括：

步骤1002：终端向归属网络中的AF发送应用会话建立请求。

应用会话建立请求用于触发应用会话的建立请求，应用会话建立请求可用Application Session Establishment Request表示。其中，应用会话建立请求中携带有AKMA密钥标识符和服务网络标识符，AKMA密钥标识符可用A-KID表示。其中，A-KID用于指示终端的AKMA密钥的标识符，服务网络标识符用于指示终端的服务网络。

可选地，应用会话建立请求中包括A-KID，终端还可以在应用会话建立请求之前或之后发送终端的服务网络标识符，可选地，该服务网络标识符指示有对应的应用会话建立请求或A-KID。

步骤1004：归属网络中的AF向归属网络中的AAnF发送第一应用密钥获取请求。

第一应用密钥获取请求携带有终端的服务网络标识符。该第一应用密钥获取请求用于向归属网络中的AAnF请求归属网络中的AF的AKMA应用密钥信息。

可选地，第一应用密钥获取请求包括如下中的至少一种：

·AKMA密钥标识符；

·AF标识符。

可选地，归属网络中的AF需要终端标识，是由归属网络中的AF中的策略指示的。

可选地，AKMA密钥标识符采用网络访问标识符NAI格式。可选地，在执行步骤1004之前，归属网络中的AF还需要确定归属网络中的AAnF，即本实施例提供的方法，还包括步骤1003：归属网络中的AF确定归属网络中的AAnF。例如，归属网络中的AF通过归属网络中的NRF发现归属网络中的AAnF。

步骤1006：归属网络中的AAnF基于终端的AKMA密钥生成归属网络中的AF的AKMA应用密钥。

其中，AKMA应用密钥(AKMA Application Key，K _AF)用于指示终端和归属网络中的AF之间的通信密钥。示意性的，AKMA应用密钥基于终端的AKMA密钥生成。因此，执行步骤1006需要满足如下条件：归属网络中的AAnF存储有终端的AKMA密钥。

可选地，在执行步骤1006之前，归属网络中的AAnF还需要执行如下步骤：根据授权信息或策略，确定归属网络中的AAnF向归属网络中的AF及服务网络中的代理实体提供服务。即本实施例提供的方法，还包括步骤1005：归属网络中的AAnF根据授权信息或策略，确定归属网络中的AAnF向归属网络中的AF及服务网络中的代理实体提供服务。可选地，授权信息或策略，由本地策略或归属网络中的NRF提供。示例地，归属网络中的AAnF根据AF_ID关联的授权信息或策略，确定归属网络中的AAnF是否可以向归属网络中的AF及服务网络中的代理实体提供服务。

其中，在归属网络中的AAnF可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF执行步骤1006；在归属网络中的AAnF不可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF可拒绝执行步骤1006，并向归属网络中的AF反馈错误响应。

步骤1008：归属网络中的AAnF向归属网络中的AF反馈第一应用密钥获取响应。

在归属网络中的AF需要终端标识的情况下，归属网络中的AAnF会接收到第一应用密钥获取请求。在生成AKMA应用密钥后，归属网络中的AAnF向归属网络中的AF发送第一应用密钥获取响应。

步骤1010：归属网络中的AAnF向服务网络中的代理实体发送应用密钥确认请求。

·AKMA应用密钥；

·AKMA应用密钥的过期时间；

·AF标识符；

·AKMA密钥标识符；

·终端的SUPI。

需要说明的是，在终端的服务网络标识符与归属网络标识符不同的情况下，归属网络中的AAnF需要先在服务网络的网元中确定服务网络中的代理实体，之后才能够向服务网络中的代理实体发送应用密钥确认请求。即本实施例提供的方法，还包括步骤1009：归属网络中的AAnF在服务网络的网元中确定服务网络中的代理实体。可选地，在终端的服务网络标识符与归属网络标识符不同的情况下，归属网络中的AAnF在服务网络的网元中，通过服务网络和归属网络中的NRF发现服务网络中的代理实体。或服务网络中的代理实体的信息是在归属网络中的AAnF的本地配置的。此时归属网络中的AAnF无需通过NRF来发现服务网络中的代理实体。

步骤1012：服务网络中的代理实体向归属网络中的AAnF发送应用密钥确认响应。

步骤1014：归属网络中的AF向终端反馈应用会话建立响应。

二、针对归属网络中的AF不需要终端标识的情况。

图11示出了本申请一个示例性实施例提供的密钥管理方法的流程图，应用于漫游场景下。该方法包括：

步骤1102：终端向归属网络中的AF发送应用会话建立请求。

步骤1104：归属网络中的AF向归属网络中的AAnF发送第二应用密钥获取请求。

第二应用密钥获取请求携带有终端的服务网络标识符。该第二应用密钥获取请求用于向归属网络中的AAnF请求归属网络中的AF的AKMA应用密钥信息。

可选地，第二应用密钥获取请求包括如下中的至少一种：

·AKMA密钥标识符；

·AF标识符。

其中，AKMA密钥标识符为终端的AKMA密钥的标识符，AF标识符为归属网络中的AF的标识符。A-KID和AF_ID的相关描述可参考前述内容，此处不再赘述。可选地，第二应用密钥获取请求包括AKMA密钥标识符和服务网络标识符(还可以包括AF标识符)。AKMA密钥标识符携带有服务网络标识符；或第二应用密钥获取请求通过单独的字段携带服务网络标识符。即第二应用密钥获取请求能够通过上述两种方式，实现携带服务网络标识符。

可选地，归属网络中的AF不需要终端标识，是由归属网络中的AF中的策略指示的。

可选地，AKMA密钥标识符采用网络访问标识符NAI格式。可选地，在执行步骤1104之前，归属网络中的AF还需要确定归属网络中的AAnF，即本实施例提供的方法，还包括步骤1103：归属网络中的AF确定归属网络中的AAnF。例如，归属网络中的AF通过归属网络中的NRF发现归属网络中的AAnF。

步骤1106：归属网络中的AAnF基于终端的AKMA密钥生成归属网络中的AF的AKMA应用密钥。

其中，AKMA应用密钥(AKMA Application Key，K _AF)用于指示终端和归属网络中的AF之间的通信密钥。示意性的，AKMA应用密钥基于终端的AKMA密钥生成。因此，执行步骤1106需要满足如下条件：归属网络中的AAnF存储有终端的AKMA密钥。

可选地，在执行步骤1106之前，归属网络中的AAnF还需要执行如下步骤：根据授权信息或策略，确定归属网络中的AAnF向归属网络中的AF及服务网络中的代理实体提供服务。即本实施例提供的方法，还包括步骤1105：归属网络中的AAnF根据授权信息或策略，确定归属网络中的AAnF向归属网络中的AF及服务网络中的代理实体提供服务。可选地，授权信息或策略，由本地策略或归属网络中的NRF提供。示例地，归属网络中的AAnF根据AF_ID关联的授权信息或策略，确定归属网络中的AAnF是否可以向归属网络中的AF及服务网络中的代理实体提供服务。

其中，在归属网络中的AAnF可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF执行步骤1106；在归属网络中的AAnF不可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF可拒绝执行步骤1106，并向归属网络中的AF反馈错误响应。

步骤1108：归属网络中的AAnF向归属网络中的AF反馈第二应用密钥获取响应。

在归属网络中的AF不需要终端标识的情况下，归属网络中的AAnF会接收到第二应用密钥获取请求。在生成AKMA应用密钥后，归属网络中的AAnF向归属网络中的AF发送第二应用密钥获取响应。

可选地，在归属网络中的AAnF接收到第二应用密钥获取请求的情况下，归属网络中的AAnF反馈的AKMA应用密钥信息不包括终端的SUPI，即该第二应用密钥获取响应不包括终端的SUPI。其中，第二应用密钥获取响应中携带的AF的AKMA应用密钥信息包括如下信息中的至少一种：AKMA应用密钥、AKMA应用密钥的过期时间。AKMA应用密钥的过期时间可使用K _AF expTime表示。

步骤1110：归属网络中的AAnF向服务网络中的代理实体发送应用密钥确认请求。

·AKMA应用密钥；

·AKMA应用密钥的过期时间；

·AF标识符；

·AKMA密钥标识符；

·终端的SUPI。

需要说明的是，在终端的服务网络标识符与归属网络标识符不同的情况下，归属网络中的AAnF需要先在服务网络的网元中确定服务网络中的代理实体，之后才能够向服务网络中的代理实体发送应用密钥确认请求。即本实施例提供的方法，还包括步骤1109：归属网络中的AAnF在服务网络的网元中确定服务网络中的代理实体。可选地，在终端的服务网络标识符与归属网络标识符不同的情况下，归属网络中的AAnF在服务网络的网元中，通过服务网络和归属网络中的NRF发现服务网络中的代理实体。或服务网络中的代理实体的信息是在归属网络中的AAnF的本地配置的。此时归属网络中的AAnF无需通过NRF来发现服务网络中的代理实体。

步骤1112：服务网络中的代理实体向归属网络中的AAnF发送应用密钥确认响应。

步骤1114：归属网络中的AF向终端反馈应用会话建立响应。

图12示出了本申请一个示例性实施例提供的密钥管理方法的流程图，应用于漫游场景下。该方法包括：

示意性的，在归属网络中的AF与UE进行通信之前，需要确定二者之间是否可以使用AKMA服务。在执行以下步骤之前，通过UE与AUSF之间的主鉴权流程，以使得UE和AUSF分别在本地生成相同的K _AUSF、K _AKMA以及A-KID。

其中，主鉴权流程可参考前述内容，不再赘述。

可选地，归属网络中的AF与UE进行通信的先决条件是隐式特定应用于UE和AF的，或是由AF向UE显式指示的。

步骤1202：UE向归属网络中的AF发送应用会话建立请求。

应用会话建立请求用于触发应用会话的建立请求，应用会话建立请求可用Application Session Establishment Request表示。

其中，应用会话建立请求中携带有A-KID和服务网络标识符。其中，A-KID用于指示UE的AKMA密钥的标识符，服务网络标识符用于指示UE的服务网络。服务网络标识符用于触发归属网络中的AAnF在UE的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的AAnFProxy发送应用密钥确认请求。

在一些实施例中，应用会话建立请求中包括A-KID，A-KID中携带有UE的服务网络标识符；或应用会话建立请求中包括A-KID和UE的服务网络标识符；或应用会话建立请求中包括A-KID，UE在应用会话建立请求之前或之后发送UE的服务网络标识符，可选地，该服务网络标识符指示有对应的应用会话建立请求或A-KID。

可选的，TS 33.535中限定了A-KID应采用IETF RFC 7542中条款2.2规定的NAI格式，比如：用户名@安全域。

步骤12041：归属网络中的AF向归属网络中的AAnF发送第一应用密钥获取请求。

第一应用密钥获取请求携带有UE的服务网络标识符。该第一应用密钥获取请求用于向归属网络中的AAnF请求归属网络中的AF的AKMA应用密钥信息。

在归属网络中的AF需要UE标识的情况下，归属网络中的AF向归属网络中的AAnF发送第一应用密钥获取请求。示例性的，第一应用密钥获取请求可使用Naanf_AKMA_ApplicationKey_Get Request表示。(The AF sends the request to AAnF via the Naanf_AKMA_ApplicationKey_Get service operation if the policy in AF indicates it needs the UE identity.)

可选地，第一应用密钥获取请求包括如下中的至少一种：

·A-KID；

·AF_ID。

可选地，第一应用密钥获取请求包括A-KID和服务网络标识符(还可以包括AF_ID)。A-KID携带有服务网络标识符；或第一应用密钥获取请求通过单独的字段携带服务网络标识符。即第一应用密钥获取请求能够通过上述两种方式，实现携带UE的服务网络标识符。

可选地，归属网络中的AF需要UE标识，是由归属网络中的AF中的策略指示的。

可选地，在执行步骤12041(12042)之前，归属网络中的AF还需要确定归属网络中的AAnF。例如，归属网络中的AF通过归属网络中的NRF发现归属网络中的AAnF。

在一些实施例中，NRF委托服务通信代理(Service Communication Proxy，SCP)来发现和选择出至少一个归属网络中的AAnfProxy。在此情况下，归属网络中的AAnfProxy NF向SCP发送所有可用的因素。

步骤12042：归属网络中的AF向归属网络中的AAnF发送第二应用密钥获取请求。

第二应用密钥获取请求携带有UE的服务网络标识符。该第二应用密钥获取请求用于向归属网络中的AAnF请求归属网络中的AF的AKMA应用密钥信息。

在归属网络中的AF不需要UE标识的情况下，归属网络中的AF向归属网络中的AAnF发送第二应用密钥获取请求。示例性的，第二应用密钥获取请求可使用Naanf_AKMA_ApplicationKey_AnonUser_Get Request表示。(The AF sends the request via the Naanf_AKMA_ApplicationKey_AnonUser_Get service operation if the policy in AF indicates it does not need the UE identity.)

可选地，第二应用密钥获取请求包括如下中的至少一种：

·A-KID；

·AF_ID。

可选地，第二应用密钥获取请求包括A-KID和服务网络标识符(还可以包括AF_ID)。A-KID携带有服务网络标识符；或第二应用密钥获取请求通过单独的字段携带服务网络标识符。即第二应用密钥获取请求能够通过上述两种方式，实现携带UE的服务网络标识符。

可选地，归属网络中的AF不需要UE标识，是由归属网络中的AF中的策略指示的。

应当理解的是，步骤12041和步骤12042择一执行，不能同时执行。

步骤1206：归属网络中的AAnF基于UE的AKMA密钥生成归属网络中的AF的AKMA应用密钥。

其中，AKMA应用密钥(K _AF)用于指示UE和归属网络中的AF之间的通信密钥。示意性的，AKMA应用密钥基于UE的AKMA密钥生成。因此，执行步骤1206需要满足如下条件：归属网络中的AAnF存储有UE的AKMA密钥。

其中，AKMA应用密钥的获取可通过如下方式实现：归属网络中的AAnF根据第一应用密钥获取请求或第二应用密钥获取请求得到A-KID和AF_ID。之后，归属网络中的AAnF可基于AKMA密钥和AF_ID生成AKMA应用密钥。

可选地，归属网络中的AAnF可根据A-KID对应的UE的AKMA密钥的存在，来验证UE是否被授权使用AKMA服务。(The AAnF shall verify whether the AF is authorized to use AKMA based on the presence of the UE specific K _AKMA key identified by the A-KID.)

可选地，在执行步骤1206之前，归属网络中的AAnF还需要执行如下步骤：根据AF_ID关联的授权信息或策略，确定归属网络中的AAnF是否可以向归属网络中的AF及服务网络中的代理实体提供服务。可选地，授权信息或策略，由本地策略或归属网络中的NRF提供。

其中，在归属网络中的AAnF可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF执行步骤1206；在归属网络中的AAnF不可以向归属网络中的AF及服务网络中的代理实体提供服务的情况下，归属网络中的AAnF可拒绝执行步骤1206，并向归属网络中的AF反馈错误响应。(The AAnF shall check whether the AAnF can provide the service to the AF based on the configured local policy or based on the authorization information or policy provided by the NRF in the home network using the AF_ID.If it succeeds,the following procedures are executed.Otherwise,the AAnF shall reject the procedure.)

在一种实现场景下，归属网络中的AAnF可能存储有UE的AKMA密钥，也可未存储UE的AKMA密钥。归属网络中的AAnF存储有UE的AKMA密钥的情况下，归属网络中的AAnF基于UE的AKMA密钥生成服务网络中的AF的AKMA应用密钥(If K _AKMA is present in AAnF,the AAnF shall derive K _AF for the AF.)；在归属网络中的AAnF未存储有UE的AKMA密钥的情况下，归属网络中的AAnF反馈错误响应(If K _AKMA is not present in the AAnF,the AAnF shall continue with step 12081or 12082with an error response.)。

步骤12081：归属网络中的AAnF向归属网络中的AF反馈第一应用密钥获取响应。

在归属网络中的AF需要UE标识的情况下，归属网络中的AAnF会接收到第一应用密钥获取请求。在生成AKMA应用密钥后，归属网络中的AAnF向归属网络中的AF发送第一应用密钥获取响应。可选地，第一应用密钥获取响应可使用Naanf_AKMA_ApplicationKey_Get Response表示。(The AAnF sends Naanf_AKMA_ApplicationKey_Get response to the AF with SUPI,K _AF and the K _AF expiration time.)

其中，第一应用密钥获取响应中携带的AF的AKMA应用密钥信息包括如下信息中的至少一种：AKMA应用密钥、AKMA应用密钥的过期时间、UE的SUPI。

可选地，在归属网络中的AAnF中未存储有UE的AKMA密钥的情况下，归属网络中的AAnF会向归属网络中的AF反馈错误响应。

步骤12082：归属网络中的AAnF向归属网络中的AF反馈第二应用密钥获取响应。

在归属网络中的AF不需要UE标识的情况下，归属网络中的AAnF会接收到第二应用密钥获取请求。在生成AKMA应用密钥后，归属网络中的AAnF向归属网络中的AF发送第二应用密钥获取响应。可选地，第二应用密钥获取响应可使用Naanf_AKMA_ApplicationKey_AnonUser_Get Response表示。(The AAnF sends Naanf_AKMA_ApplicationKey_AnonUser_Get response to the AF with K _AF and the K _AF expiration time.)

可选地，在归属网络中的AAnF接收到第二应用密钥获取请求的情况下，该第二应用密钥获取响应不包括UE的SUPI。其中，第二应用密钥获取响应中携带的AF的AKMA应用密钥信息包括如下信息中的至少一种：AKMA应用密钥、AKMA应用密钥的过期时间。

应当理解的是，步骤12081和步骤12082择一执行，不能同时执行。

步骤1212：归属网络中的AAnF向服务网络中的AAnFProxy发送应用密钥确认请求。

该应用密钥确认请求可通过AKMA Application Key Comfirmation Request表示。可选地，在UE的服务网络标识符与归属网络标识符不同的情况下，即UE处于漫游的情况下，归属网络中的AAnF会向服务网络中的AAnFProxy发送应用密钥确认请求。(If the serving network identifier of UE is different from the home network identifier of UE,the AAnF sends AKMA Application Key Confirmation request to the AAnFProxy in the visited network with K _AF,K _AF expiration time,AF_ID,A-KID,and SUPI of the UE.)

可选地，应用密钥确认请求包括如下中的至少一种：

·AKMA应用密钥；

·AKMA应用密钥的过期时间；

·AF_ID；

·A-KID；

·UE的SUPI。

可选地，AKMA密钥标识符中存储有UE的归属网络标识符。(Home network identifier is stored in the A-KID of the UE.)

需要说明的是，在UE的服务网络标识符与归属网络标识符不同的情况下，归属网络中的AAnF需要先在服务网络的网元中确定服务网络中的AAnFProxy，之后才能够向服务网络中的AAnFProxy发送应用密钥确认请求。(If the serving network identifier of UE is different from the home network identifier of UE,the AAnF in the home network performs AAnFProxy selection to allocate an AAnFProxy Instance in the visited network that handles the AKMA request.Otherwise,the AAnF does not need to discovery AAnFProxy in the serving network of UE.)

可选地，在UE的服务网络标识符与归属网络标识符不同的情况下，归属网络中的AAnF在服务网络的网元中，通过服务网络和归属网络中的NRF发现服务网络中的AAnFProxy。或服务网络中的AAnFProxy的信息是在归属网络中的AAnF的本地配置的。此时归属网络中的AAnF无需通过NRF来发现服务网络中的AAnFProxy。(The AAnF in the home network shall utilize the NRF in the home network and NRF in the visited network to discover the AAnFProxy instance(s)unless AAnFProxy information is available by other means,e.g.locally configured on the AAnF.)

可选地，上述服务网络中的AAnFProxy是服务网络中单独的NF；或服务网络中的AAnFProxy是服务网络中任一NF的一部分；或服务网络中的AAnFProxy是3GPP运营商域内的可信应用功能。

步骤1212：服务网络中的AAnFProxy向归属网络中的AAnF发送应用密钥确认响应。

该应用密钥确认响应可通过AKMA Application Key Confirmation Response表示。该应用密钥确认响应用于服务网络中的AAnFProxy向归属网络中的AAnF通知其已获知UE与归属网络中的AF可建立基于AKMA的通信，以及相关的AKMA应用密钥信息。

可选地，在接收到归属网络中的AAnF发送的应用密钥确认请求后，服务网络中的AAnFProxy会存储该应用密钥确认请求，之后再向归属网络中的AAnF发送应用密钥确认响应。(The AAnFProxy in the visited network firstly stores K _AF,K _AF expiration time,AF_ID,A-KID,and SUPI of the UE.Then it sends the AKMA Application Key Confirmation response to the AAnF in the home network of UE.)

步骤1214：归属网络中的AF向UE反馈应用会话建立响应。

该应用会话建立响应与应用会话建立请求对应，用于反馈归属网络中的AF的AKMA应用密钥信息，可用Application Session Establishment Response表示。UE在接收到应用会话建立响应后，可根据应用会话建立响应中携带的AF的AKMA应用密钥信息，确定AKMA应用密钥。

在一种实现场景下，归属网络中的AAnF中未携带UE的AKMA密钥。

在该情况下，归属网络中的AAnF向归属网络中的AF发送错误响应。在接收到归属网络中的AAnF反馈的错误响应的情况下，归属网络中的AF会向UE反馈应用会话的拒绝信息，拒绝信息中包括响应失败原因。基于此，归属网络中的AF通过包含响应失败原因来拒绝建立应用会话。可选地，在UE接收到归属网络中的AF反馈的应用会话的拒绝信息后，UE可重新发送应用会话建立请求，该应用会话建立请求中携带有新的A-KID和/或服务网络标识符。(The AF sends the Application Session Establishment Response to the UE.If the information in step 12081 or 12082 indicates failure of AKMA key request,the AF shall reject the Application Session Establishment by including a failure cause.Afterwards,UE may trigger a new Application Session Establishment request with the latest A-KID to the AKMA AF.)

应当理解的是，上述内容中给出的实施例中，UE一侧的步骤可单独成为应用于UE中的密钥管理方法的一个实施例，归属网络中的AAnF一侧的步骤可单独成为应用于归属网络中的AAnF中的密钥管理方法的一个实施例，归属网络中的AF一侧的步骤可单独成为应用于归属网络中的AF中的密钥管理方法的一个实施例，服务网络中的AAnFProxy一侧的步骤可单独成为应用于服务网络中的AAnFProxy中的密钥管理方法的一个实施例。其中，密钥管理方法的步骤的具体阐释可参考上述内容，不再赘述。

示意性的，参考图12，不同的执行主体具有如下不同的功能。

1、UE一侧(UE side)：

UE能够通过应用会话建立请求消息向AF发送服务网络标识符。(The UE should be able to send serving network identifier to the AF via Application Session Establishment Request message.)。

2、服务网络中的AAnFProxy一侧(AAnFProxy side)：

服务网络中的AAnFProxy功能可以实现为服务网络中单独的网络功能，或是服务网络中任何NF的一部分，或是3GPP运营商域内的可信应用功能(AAnfProxy functionality may be implemented as a separate network function in the visited network,or be part of any NF in the visited network,or as a trusted AF.)。

服务网络中的AAnFProxy能够从UE归属网络中的AAnF获取K _AF、K _AF过期时间、AF_ID、A-KID和SUPI(AAnFProxy should be able to obtain K _AF,K _AF expiration time,AF_ID,A-KID,and SUPI of the UE from AAnF in the home network of UE.)。

3、归属网络中的AAnF一侧(AAnF side)：

归属网络中的AAnF能够从归属网络中的AF接收UE的服务网络标识符(AAnF should be able to receive Serving Network Identifier information of UE from the AF.)。

归属网络中的AAnF能够理解存储在A-KID中的服务网络标识符(AAnF should be able to understand Serving Network Identifier which is stored in the A-KID.)。

获取到UE的服务网络标识符的情况下，归属网络中的AAnf能够利用归属网络和服务网络中的NRF来选择服务网络中的AAnFProxy(With serving network identifier of UE,AAnf should be able to leverage NRFs in the home network and visited network to select AAnFProxy in the visited network.)。

归属网络中的AAnF能够将UE的K _AF、K _AF过期时间、AF_ID、A-KID和SUPI发送到服务网络中的AAnFProxy(AAnF should be able to send K _AF,K _AF expiration time,AF_ID,A-KID,and SUPI of the UE to AAnFProxy in the visited network of UE.)。

如果UE的服务网络标识符与UE的归属网络标识符不同，归属网络中的AAnF能够执行AAnFProxy选择以在服务网络中分配一个AAnFProxy实例来处理AKMA请求(If the serving network identifier of UE is different from the home network identifier of UE,the AAnF in the home network should be able to perform AAnFProxy selection to allocate an AAnFProxy Instance in the visited network that handles the AKMA request.)。

4、归属网络中的AF(AF side)：

归属网络中的AF能够从UE接收A-KID和服务网络标识符(AF should be able to receive A-KID and serving network identifier from the UE.)。

归属网络中的AF能够理解服务网络标识符(AF should be able to understand the serving network identifier.)。

归属网络中的AF能够通过向其发送A-KID、AF_ID、服务网络标识符来向UE的归属网络中的AAnF请求K _AF(AF should be able to request K _AF from AAnF in the home network of UE by sending A-KID,AF_ID,serving network identifier to it.)。

综上所述，本实施例提供的方法，在漫游场景中，通过UE向归属网络中的AF发送服务网络标识符，并由归属网络中的AF向归属网络中的AAnF发送携带有服务网络标识符的应用密钥获取请求，从而使得归属网络中的AAnF根据服务网络标识符判断UE处于漫游场景的情况下，能够在服务网络的网元中确定服务网络中的AAnFProxy，并向其发送应用密钥确认请求，使得服务网络中的相关网元获知UE与归属网络中的AF可建立基于AKMA的通信，从而实现在漫游场景下提供AKMA服务。

需要说明的是，本申请实施例提供的方法步骤的先后顺序可以进行适当调整，步骤也可以根据情况进行相应增减，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化的方法，都应涵盖在本申请的保护范围之内，因此不再赘述。

图13示出了本申请一个示例性实施例提供的密钥管理装置的结构框图。该装置应用于漫游场景中，如图13所示，该装置包括：

接收模块1301，用于接收归属网络中的应用认证与密钥管理AKMA的锚点功能网元AAnF发送的应用密钥确认请求。

AKMA应用密钥；

AKMA应用密钥的过期时间；

AF标识符；

AKMA密钥标识符；

终端的签约永久标识SUPI；

在一个可选的设计中，所述装置还包括：

发送模块1302，用于向AAnF发送应用密钥确认响应。

在一个可选的设计中，所述装置还包括：

存储模块1303，用于存储应用密钥确认请求。

代理实体是服务网络中任一NF的一部分；或

代理实体是3GPP运营商域内的可信应用功能。

图14示出了本申请一个示例性实施例提供的密钥管理装置的结构框图。该装置应用于漫游场景中，如图14所示，该装置包括：

接收模块1401，用于接收终端发送的服务网络标识符和AKMA密钥标识符；

发送模块1402，用于向归属网络中的AAnF发送应用密钥获取请求，应用密钥获取请求携带有服务网络标识符，服务网络标识符用于触发AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求；

接收模块1401，还用于接收AAnF反馈的应用密钥获取响应，应用密钥获取响应包括AF的AKMA应用密钥信息。

AKMA应用密钥；

AKMA应用密钥的过期时间；

终端的SUPI。

在一个可选的设计中，发送模块1402，用于：

AKMA密钥标识符；

AF标识符；

在一个可选的设计中，发送模块1402，用于：

AKMA密钥标识符；

AF标识符；

在一个可选的设计中，接收模块1401，用于：

发送模块1402，用于向终端发送错误响应。

在一个可选的设计中，所述装置还包括：

发现模块1403，用于通过归属网络中的NRF发现AAnF。

在一个可选的设计中，接收模块1401，用于：

发送模块1402，用于向终端反馈应用会话建立响应。

其中，AKMA密钥标识符为终端的AKMA密钥的标识符。

在一个可选的设计中，发送模块1402，用于：

图15示出了本申请一个示例性实施例提供的密钥管理装置的结构框图。该装置应用于漫游场景中，如图15所示，该装置包括：

接收模块1501，用于接收归属网络中的AF发送的应用密钥获取请求，应用密钥获取请求携带有服务网络标识符；

生成模块1502，用于基于终端的AKMA密钥生成AF的AKMA应用密钥；

发送模块1503，用于向AF反馈应用密钥获取响应，应用密钥获取响应包括AF的AKMA应用密钥信息；

发送模块1503，还用于向服务网络中的代理实体发送应用密钥确认请求。

AKMA应用密钥；

AKMA应用密钥的过期时间；

终端的SUPI。

在一个可选的设计中，接收模块1501，用于：

AKMA密钥标识符；

AF标识符；

在一个可选的设计中，接收模块1501，用于：

AKMA密钥标识符；

AF标识符；

在一个可选的设计中，发送模块1503，用于：

在一个可选的设计中，所述装置还包括：

确定模块1504，用于根据授权信息或策略，确定AAnF向AF及服务网络中的代理实体提供服务。

AKMA应用密钥；

AKMA应用密钥的过期时间；

AF标识符；

AKMA密钥标识符；

终端的SUPI；

在一个可选的设计中，发送模块1503，用于：

在一个可选的设计中，接收模块1501，用于：

接收代理实体发送的应用密钥确认响应。

在一个可选的设计中，所述装置还包括：

确定模块1504，用于在终端的服务网络标识符与归属网络标识符不同的情况下，在服务网络的网元中确定代理实体。

在一个可选的设计中，确定模块1504，用于：

图16示出了本申请一个示例性实施例提供的密钥管理装置的结构框图。该装置应用于漫游场景中，如图16所示，该装置包括：

发送模块1601，用于向归属网络中的AF发送服务网络标识符和AKMA密钥标识符，服务网络标识符用于触发归属网络中的AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求，AKMA密钥标识符为终端的AKMA密钥的标识符。

在一个可选的设计中，发送模块1601，用于：

装置还包括：

接收模块1602，用于接收AF反馈的应用会话建立响应。

其中，AKMA密钥标识符为终端的AKMA密钥的标识符。

需要说明的一点是，上述实施例提供的装置在实现其功能时，仅以上述各个功能模块的划分进行举例说明，实际应用中，可以根据实际需要而将上述功能分配由不同的功能模块完成，即将设备的内容结构划分成不同的功能模块，以完成以上描述的全部或部分功能。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

图17示出了本申请一个示例性实施例提供的通信设备(终端或网络设备)的结构示意图，该通信设备170包括：处理器1701、接收器1702、发射器1703、存储器1704和总线1705。

处理器1701包括一个或一个以上处理核心，处理器1701通过运行软件程序以及模块，从而执行各种功能应用以及信息处理。

接收器1702和发射器1703可以实现为一个通信组件，该通信组件可以是一块通信芯片。

存储器1704通过总线1705与处理器1701相连。

存储器1704可用于存储至少一个指令，处理器1701用于执行该至少一个指令，以实现上述方法实施例中的各个步骤。

此外，存储器1704可以由任何类型的易失性或非易失性存储设备或它们的组合实现，易失性或非易失性存储设备包括但不限于：磁盘或光盘，电可擦除可编程只读存储器(Erasable Programmable Read Only Memory，EEPROM)，可擦除可编程只读存储器(Erasable Programmable Read Only Memory，EPROM)，静态随时存取存储器(Static Random Access Memory，SRAM)，只读存储器(Read-Only Memory，ROM)，磁存储器，快闪存储器，可编程只读存储器(Programmable Read-Only Memory，PROM)。

其中，当通信设备实现为终端时，本申请实施例涉及的通信设备中的处理器和收发器，可以一起实现成为一个通信芯片，或收发器单独形成通信芯片。其中，收发器中的发射器执行上述任一所示的方法中由终端执行的发送步骤，收发器中的接收器执行上述任一所示的方法中由终端执行的接收步骤，处理器执行发送和接收步骤之外的步骤，此处不再赘述。

其中，当通信设备实现为网络设备时，本申请实施例涉及的通信设备中的处理器和收发器，可以一起实现成为一个通信芯片，或收发器单独形成通信芯片。其中，收发器中的发射器执行上述任一所示的方法中由网络设备执行的发送步骤，收发器中的接收器执行上述任一所示的方法中由网络设备执行的接收步骤，处理器执行发送和接收步骤之外的步骤，此处不再赘述。

图18示出了本申请一个示例性实施例提供的网元设备的结构示意图，该网元设备包括：处理器1801、存储器1802和通信组件1803。

处理器1801与存储器1802相连，存储器1802与存储器1803相连。

存储器1802可用于存储至少一个指令和计算机程序，处理器1801用于执行该至少一个指令和计算机程序，以实现上述方法实施例中由核心网网元执行的密钥管理方法的处理步骤。其中，处理步骤是指除接收步骤和发送步骤之外的其他步骤。

通信组件1803用于实现上述方法实施例中由核心网网元执行的密钥管理方法的接收步骤和发送步骤。

本申请实施例还提供了一种服务网络中的代理实体，代理实体包括通信组件；通信组件，用于接收归属网络中的应用认证与密钥管理AKMA的锚点功能网元AAnF发送的应用密钥确认请求。

本申请实施例还提供了一种应用功能AF，AF包括通信组件；通信组件，用于接收终端发送的服务网络标识符和AKMA密钥标识符；向归属网络中的AAnF发送应用密钥获取请求，应用密钥获取请求携带有服务网络标识符，服务网络标识符用于触发归属网络中的AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求；接收归属网络中的AAnF反馈的应用密钥获取响应，应用密钥获取响应包括归属网络中的AF的AKMA应用密钥信息。

本申请实施例还提供了一种应用认证与密钥管理AKMA的锚点功能网元AAnF，AAnF包括通信组件和处理器；通信组件，用于接收归属网络中的AF发送的应用密钥获取请求，应用密钥获取请求携带有服务网络标识符；处理器，用于基于终端的AKMA密钥生成归属网络中的AF的AKMA应用密钥；通信组件，用于向归属网络中的AF反馈应用密钥获取响应，应用密钥获取响应包括归属网络中的AF的AKMA应用密钥信息；通信组件，用于向服务网络中的代理实体发送应用密钥确认请求。

本申请实施例还提供了一种终端，终端包括收发器；收发器，用于向归属网络中的AF发送服务网络标识符和AKMA密钥标识符，服务网络标识符用于触发归属网络中的AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求，AKMA密钥标识符为终端的AKMA密钥的标识符。

在示例性实施例中，还提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由所述处理器加载并执行以实现上述各个方法实施例提供的密钥管理方法。

在示例性实施例中，还提供了一种芯片，所述芯片包括可编程逻辑电路和/或程序指令，当所述芯片在通信设备上运行时，用于实现上述各个方法实施例提供的密钥管理方法。

在示例性实施例中，还提供了一种计算机程序产品，该计算机程序产品在计算机设备的处理器上运行时，使得计算机设备执行上述密钥管理方法。

本领域技术人员应该可以意识到，在上述一个或多个示例中，本申请实施例所描述的功能可以用硬件、软件、固件或它们的任意组合来实现。当使用软件实现时，可以将这些功能存储在计算机可读介质中或作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是通用或专用计算机能够存取的任何可用介质。

以上所述仅为本申请的示例性实施例，并不用以限制本申请，凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims

一种密钥管理方法，其特征在于，所述方法应用于漫游场景中，所述方法由服务网络中的代理实体执行，所述方法包括：

接收归属网络中的应用认证与密钥管理AKMA的锚点功能网元AAnF发送的应用密钥确认请求。
根据权利要求1所述的方法，其特征在于，所述应用密钥确认请求包括如下中的至少一种：

AKMA应用密钥；

所述AKMA应用密钥的过期时间；

AF标识符；

AKMA密钥标识符；

终端的签约永久标识SUPI；

其中，所述AF标识符为所述归属网络中的AF的标识符，所述AKMA密钥标识符为所述终端的AKMA密钥的标识符。
根据权利要求1所述的方法，其特征在于，所述应用密钥确认请求是所述AAnF在终端的服务网络标识符与归属网络标识符不同的情况下，向所述代理实体发送的。
根据权利要求1至3任一所述的方法，其特征在于，所述方法还包括：

向所述AAnF发送应用密钥确认响应。
根据权利要求4所述的方法，其特征在于，所述方法还包括：

存储所述应用密钥确认请求。
根据权利要求1至3任一所述的方法，其特征在于，

所述代理实体是所述服务网络中单独的网络功能NF；或

所述代理实体是所述服务网络中任一NF的一部分；或

所述代理实体是第三代合作伙伴项目3GPP运营商域内的可信应用功能。
一种密钥管理方法，其特征在于，所述方法应用于漫游场景中，所述方法由归属网络中的AF执行，所述方法包括：

接收终端发送的服务网络标识符和AKMA密钥标识符；

向所述归属网络中的AAnF发送应用密钥获取请求，所述应用密钥获取请求携带有所述服务网络标识符，所述服务网络标识符用于触发所述AAnF在所述终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求；

接收所述AAnF反馈的应用密钥获取响应，所述应用密钥获取响应包括所述AF的AKMA应用密钥信息。
根据权利要求7所述的方法，其特征在于，所述AKMA应用密钥信息包括如下中的至少一种：

AKMA应用密钥；

所述AKMA应用密钥的过期时间；

所述终端的SUPI。
根据权利要7所述的方法，其特征在于，所述向所述归属网络中的AAnF发送应用密钥获取请求，包括：

在所述AF需要终端标识的情况下，向所述AAnF发送第一应用密钥获取请求。
根据权利要求9所述的方法，其特征在于，所述第一应用密钥获取请求包括如下中的至少一种：

AKMA密钥标识符；

AF标识符；

其中，所述AKMA密钥标识符为所述终端的AKMA密钥的标识符，所述AF标识符为所述归属网络中的AF的标识符。
根据权利要求10所述的方法，其特征在于，所述第一应用密钥获取请求包括所述AKMA密钥标识符和所述服务网络标识符；

所述AKMA密钥标识符携带有所述服务网络标识符；或所述第一应用密钥获取请求通过单独的字段携带所述服务网络标识符。
根据权利要求7所述的方法，其特征在于，所述向所述归属网络中的AAnF发送应用密钥获取请求，包括：

在所述归属网络中的AF不需要终端标识的情况下，向所述归属网络中的AAnF发送第二应用密钥获取请求。
根据权利要求12所述的方法，其特征在于，所述第二应用密钥获取请求包括如下中的至少一种：

AKMA密钥标识符；

AF标识符；

其中，所述AKMA密钥标识符为所述终端的AKMA密钥的标识符，所述AF标识符为所述归属网络中的AF的标识符。
根据权利要求13所述的方法，其特征在于，所述第二应用密钥获取请求包括所述AKMA密钥标识符和所述服务网络标识符；

所述AKMA密钥标识符携带有所述服务网络标识符；或所述第二应用密钥获取请求通过单独的字段携带所述服务网络标识符。
根据权利要求9或12所述的方法，其特征在于，所述AF是否需要所述终端标识，是由所述AF中的策略指示的。
根据权利要求7至14任一所述的方法，其特征在于，所述方法还包括：

接收所述AAnF反馈的错误响应，所述错误响应是在所述AAnF中未存储有所述终端的AKMA密钥的情况下发送的；

向所述终端发送所述错误响应。
根据权利要求7至14任一所述的方法，其特征在于，所述方法还包括：

通过所述归属网络中的NRF发现所述AAnF。
根据权利要求7至14任一所述的方法，其特征在于，所述接收终端发送的服务网络标识符，包括：

接收所述终端发送的应用会话建立请求，所述应用会话建立请求携带有所述服务网络标识符；

所述方法还包括：

向所述终端反馈应用会话建立响应。
根据权利要求18所述的方法，其特征在于，

所述应用会话建立请求包括AKMA的AKMA密钥标识符，所述AKMA密钥标识符携带有所述服务网络标识符；或所述应用会话建立请求包括所述AKMA密钥标识符和所述服务网络标识符；

其中，所述AKMA密钥标识符为所述终端的AKMA密钥的标识符。
根据权利要求18所述的方法，其特征在于，所述方法还包括：

在接收到所述AAnF反馈的错误响应的情况下，向所述终端反馈应用会话的拒绝信息，所述拒绝信息中包括响应失败原因。
一种密钥管理方法，其特征在于，所述方法应用于漫游场景中，所述方法由归属网络中的AAnF执行，所述方法包括：

接收所述归属网络中的AF发送的应用密钥获取请求，所述应用密钥获取请求携带有服务网络标识符；

基于终端的AKMA密钥生成所述AF的AKMA应用密钥；

向所述AF反馈应用密钥获取响应，所述应用密钥获取响应包括所述AF的AKMA应用密钥信息；

向服务网络中的代理实体发送应用密钥确认请求。
根据权利要21所述的方法，其特征在于，所述接收所述归属网络中的AF发送的应用密钥获取请求，包括：

接收所述AF发送的第一应用密钥获取请求，所述第一应用密钥获取请求用于指示所述AF需要终端标识。
根据权利要21所述的方法，其特征在于，所述接收所述归属网络中的AF发送的应用密钥获取请求，包括：

接收所述AF发送的第二应用密钥获取请求，所述第二应用密钥获取请求用于指示所述AF不需要终端标识。
根据权利要求23所述的方法，其特征在于，在所述AAnF接收到所述第二应用密钥获取请求的情况下，所述AAnF反馈的所述AKMA应用密钥信息不包括所述终端的SUPI。
根据权利要求21至24任一所述的方法，其特征在于，所述方法还包括：

根据授权信息或策略，确定所述AAnF向所述AF及所述服务网络中的代理实体提供服务。
根据权利要求25所述的方法，其特征在于，

所述授权信息或策略，由本地策略或所述归属网络中的NRF提供。
根据权利要求21至24任一所述的方法，其特征在于，所述向服务网络中的代理实体发送应用密钥确认请求，包括：

在所述终端的服务网络标识符与归属网络标识符不同的情况下，向所述代理实体发送所述应用密钥确认请求。
根据权利要求21至24任一所述的方法，其特征在于，所述方法还包括：

接收所述代理实体发送的应用密钥确认响应。
根据权利要求21至24任一所述的方法，其特征在于，所述方法还包括：

在所述终端的服务网络标识符与归属网络标识符不同的情况下，在所述服务网络的网元中确定所述代理实体。
根据权利要求29所述的方法，其特征在于，所述在所述终端的服务网络标识符与归属网络标识符不同的情况下，在所述服务网络的网元中确定所述代理实体，包括：

在所述终端的服务网络标识符与归属网络标识符不同的情况下，在所述服务网络的网元中，通过所述服务网络和所述归属网络中的NRF发现所述代理实体。
一种密钥管理方法，其特征在于，所述方法应用于漫游场景中，所述方法由终端执行，所述方法包括：

向归属网络中的AF发送服务网络标识符和AKMA密钥标识符，所述服务网络标识符用于触发所述归属网络中的AAnF在所述终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求，所述AKMA密钥标识符为所述终端的AKMA密钥的标识符。
一种密钥管理装置，其特征在于，所述装置应用于漫游场景中，所述装置包括：

接收模块，用于接收归属网络中的AAnF发送的应用密钥确认请求。
一种密钥管理装置，其特征在于，所述装置应用于漫游场景中，所述装置包括：

接收模块，用于接收终端发送的服务网络标识符和AKMA密钥标识符；

发送模块，用于向归属网络中的AAnF发送应用密钥获取请求，所述应用密钥获取请求携带有所述服务网络标识符，所述服务网络标识符用于触发所述AAnF在所述终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求；

所述接收模块，还用于接收所述AAnF反馈的应用密钥获取响应，所述应用密钥获取响应包括所述归属网络中的AF的AKMA应用密钥信息。
一种密钥管理装置，其特征在于，所述装置应用于漫游场景中，所述装置包括：

接收模块，用于接收归属网络中的AF发送的应用密钥获取请求，所述应用密钥获取请求携带有服务网络标识符；

生成模块，用于基于终端的AKMA密钥生成所述AF的AKMA应用密钥；

发送模块，用于向所述AF反馈应用密钥获取响应，所述应用密钥获取响应包括所述AF的AKMA应用密钥信息；

所述发送模块，还用于向服务网络中的代理实体发送应用密钥确认请求。
一种密钥管理装置，其特征在于，所述装置应用于漫游场景中，所述装置包括：

发送模块，用于向归属网络中的AF发送服务网络标识符和AKMA密钥标识符，所述服务网络标识符用于触发所述归属网络中的AAnF在所述终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求，所述AKMA密钥标识符为所述终端的AKMA密钥的标识符。
一种服务网络中的代理实体，其特征在于，所述代理实体包括通信组件；

所述通信组件，用于接收归属网络中的AAnF发送的应用密钥确认请求。
一种应用功能AF，其特征在于，所述AF包括通信组件；

所述通信组件，用于接收终端发送的服务网络标识符和AKMA密钥标识符；

向归属网络中的AAnF发送应用密钥获取请求，所述应用密钥获取请求携带有所述服务网络标识符，所述服务网络标识符用于触发所述AAnF在所述终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求；

接收所述AAnF反馈的应用密钥获取响应，所述应用密钥获取响应包括所述归属网络中的AF的AKMA应用密钥信息。
一种应用认证与密钥管理AKMA的锚点功能网元AAnF，其特征在于，所述AAnF包括通信组件和处理器；

所述通信组件，用于接收归属网络中的AF发送的应用密钥获取请求，所述应用密钥获取请求携带有服务网络标识符；

所述处理器，用于基于终端的AKMA密钥生成所述AF的AKMA应用密钥；

所述通信组件，用于向所述AF反馈应用密钥获取响应，所述应用密钥获取响应包括所述AF的AKMA应用密钥信息；

所述通信组件，用于向服务网络中的代理实体发送应用密钥确认请求。
一种终端，其特征在于，所述终端包括收发器；

所述收发器，用于向归属网络中的AF发送服务网络标识符和AKMA密钥标识符，所述服务网络标识符用于触发所述归属网络中的AAnF在所述终端的服务网络标识符与归属网络标识符不同的情况下，向服务网络中的代理实体发送应用密钥确认请求，所述AKMA密钥标识符为所述终端的AKMA密钥的标识符。
一种计算机可读存储介质，其特征在于，所述可读存储介质中存储有可执行指令，所述可执行指令由处理器加载并执行以实现如权利要求1至31中任一所述的密钥管理方法。