解决方案

• 密码安全边界

  部署堡垒机（支持国密SSL协议）和安全认证网关（IPSec/SSL VPN），实现统一身份认 证、单点登录和安全传输通道的建立。确保接入用户身份的真实性和数据传输的机密性、完整性。其中堡垒机（支持国密SSL协议）和安全认证网关（IPSec/SSL VPN）支持国密SSL卸载功能，支持基于SM2算法的https接入。

• 密码基础设施（云平台管理侧及应用侧）

  面向云平台的密码基础设施全部采用传统物理机密码设备，包括签名验签服务器、时间 戳服务器、服务器密码机和存储加密服务器，为云平台自身提供密码服务。云平台应用侧部署云服务器密码机，内置高性能密码卡，支持虚拟化技术，为用户侧和管理侧提供基础的密钥生成和密码计算服务。

• 接入用户

  接入用户面向管理侧和用户侧。管理侧用户包括运维人员和云平台管理人员。用户客户 端部署国密浏览器，采用国密https接入方式。用户侧分为PC端和移动端。政府办公用户在PC端登录时通过ukey+数字证书的方式，进行身份真实性验证。移动端登录时，通过手机盾，结合协同签名服务器进行身份真实性验证。

• 密码服务资源池

  依托云服务器密码机的密码计算资源，在云平台部署CA数字证书认证系统、KMS密钥 管理系统、签名验签系统、时间戳系统，为上层应用提供数字证书签发、认证，密钥统一管理、签名验证、可信时间戳、数据加解密、HMAC数据完整性等密码服务。