谭翔-基于单元化架构的密码基础设施高可用与合规实践.pdf

1、基于单元化架构的密码基础设施高可用与合规实践浙江网商银行基础技术架构师谭翔金融机构密评合规挑战单元化架构密码基础设施挑战应对方案与落地实践未来展望商用密码管理条例（修订草案4月14号审议通过）-7月1号施行商用密码技术应用评估范围商用密码技术应用难点与挑战硬件加密链路长业务高可用业务峰值高密码产品资质密钥安全金融机构密评合规挑战单元化架构密码基础设施挑战应对方案与落地实践未来展望网商银行云单元化架构总览云单元化逻辑架构金融机构密评合规挑战单元化架构密码基础设施挑战应对方案与落地实践未来展望密码基础设施部署架构机房1部署KMS机密平台密码机机房2部署KMS机密平台密码机机房3部署KMS机密平台密

2、码机RZONE全局单元业务1业务2CZONE全局单元业务3业务4GZONE全局单元业务5业务6RZONE全局单元业务1业务2CZONE全局单元业务3业务4GZONE全局单元业务5业务6RZONE全局单元业务1业务2CZONE全局单元业务3业务4GZONE全局单元（无流量）业务5业务6城市1城市2数据库主数据库备数据库备客户密钥使用过程业务系统网关API网关IAM应用核身KMS数据库密码机加密模块密钥解密业务系统网关API网关IAM应用核身KMS密码机软件加密硬件加密合规与高可用挑战硬件加密 密码机容量 链路耗时长 密码机容灾 负载均衡KMS服务高可用 数据库单库 突发流量 依赖系统风险 跨城访

3、问密钥安全 业务密钥明文不可见 密钥机密传输 密钥机密存储金融机构密评合规挑战单元化架构密码基础设施挑战应对方案与落地实践未来展望近端密码卡加密业务系统RPCMIST应用核身KMS数据库密码机密钥解密密码卡加解密密码卡加解密加密算力的高可用业务系统PODkMS PODK8S服务器+加密卡服务器+加密卡监控容灾平台加密卡算力自动容灾近端加密卡KMS加密卡近端软加密加密卡算力降级软密钥系统近端缓存降压力业务系统RPCMIST应用核身KMS数据库密码机密钥解密密码模块定时轮训缓存过期Gzone+Czone部署与数据库容灾KMS主数据库主节点备数据库主节点GZONE单元KMSCZONE单元业务GZONE单元业务CZONE单元业务RZONE单元KMS主数据库备节点备数据库备节点GZONE单元KMSCZONE单元业务GZONE单元业务CZONE单元业务RZONE单元KMS主数据库备节点备数据库备节点GZONE单元KMSCZONE单元业务GZONE单元业务CZONE单元业务RZONE单元城市1城市2金融机构密评合规挑战单元化架构密码基础设施挑战应对方案与落地实践未来展望未来展望硬件加密算力归一硬件加密应用内负载均衡Rzone 单元化部署支持用户级密钥数据库拆百