云内密码基础设施如何落地？国泰海通证券、SmartX、海光信息、格尔软件推出联合方案

云化业务场景下，商用密码应用建设正在从独立密码设备部署，走向与云平台、业务系统和高可用架构协同的云内密码基础设施。对金融、政务、医疗、能源等关键行业来说，密评合规、业务性能、连续运行和后续扩展需要放在同一套架构中考虑。

近日，基于国泰海通证券在金融行业商用密码应用中的实践探索和场景验证，北京志凌海纳科技股份有限公司（SmartX）联合海光信息技术股份有限公司（海光信息）、格尔软件股份有限公司（格尔软件），在“HCT 加密高可用联合解决方案”的基础上，进一步推出面向密评、密改和云化业务场景的云内密码基础设施联合方案。

该方案融合 SmartX 榫卯超融合的高可用基础设施能力、海光 CPU 的芯片级加密能力以及格尔软件的密码服务平台能力，可帮助用户快速构建“集中密钥管理 + 本地硬件密码运算 + 高可用基础设施”的一体化架构。目前，方案已在国泰海通证券的生产业务场景中落地。

面向云化业务的密码基础设施升级

随着数字化转型不断深入以及商用密码应用建设持续推进，业务系统正加速向云平台迁移，业务动态迁移、弹性扩缩容和高可用部署逐渐成为常态。与此同时，传统以独立密码设备为核心的部署模式，在云化环境中逐渐暴露出网络路径复杂、密码服务集中处理瓶颈、资源利用率不足、运维管理割裂、扩展成本高以及高可用覆盖不足等问题。

企业因此需要构建更加适配云化架构的云内密码基础设施，将密码能力与云平台深度融合，在满足商用密码应用合规要求的同时，为业务提供高性能、高可用、可扩展的密码服务支撑。

联合方案的架构设计

该方案基于国泰海通业务场景，以 SmartX 榫卯超融合构建高性能、高可用、可扩展的企业云平台底座，通过将海光 CPU 内置的密码运算加速 HCT-CAE 和可信密钥管理 HCT-TKM 能力透传至业务虚拟机，并将格尔密码服务平台以高可用集群方式部署于超融合资源池，实现密码服务的统一管理与治理。

从整体上看，方案把云平台承载、密服平台治理、芯片级密码能力内生和业务就近密码计算结合在一起，形成云内密码基础设施。

第三代联合解决方案架构图

四个层次支撑一体化能力

硬件层以支持 HCT 的海光芯片服务器为基础，每个物理节点均具备 HCT 能力，可为上层密码服务提供硬件加速和安全隔离基础，并利用 CPU 内置硬件加解密引擎 CCP 和可信密钥管理 TKM。

云平台层以 SmartX 榫卯超融合平台为核心，通过高可用资源池统一承载业务系统和格尔密码服务平台，并将 HCT 能力安全透传至上层密码服务平台和业务虚拟机。

密码服务层以格尔软件密服平台为核心，通过高可用集群方式部署，负责密钥全生命周期管理和密码服务统一治理，并向业务系统提供加解密、签名验签、时间戳、密钥管理、国密 SSL 卸载、证书和随机数服务等能力。

业务应用层中，超融合平台外的业务系统可通过 API 直连密服平台；超融合平台内的业务系统或业务虚机既可以调用标准密服服务，也可以使用密服平台下发或授权的密钥，在本地 HCT 上完成分布式硬件加解密、SSL 卸载等操作。

方案价值

在满足商用密码应用合规要求方面，方案通过将密码服务平台部署于云内，实现密钥全生命周期管理和密码服务治理，支撑密钥管理、密码服务调用、日志审计及管理控制等要求。

在提供高性能密码服务方面，方案将高频密码运算能力下沉至业务节点本地 HCT，实现业务就近密码计算，减少密码服务远程调用和网络传输开销。

在高可用业务保障方面，方案将能力覆盖至密码服务平台、云平台和芯片级密码能力三个层面。其中，格尔密码服务平台保障控制面的高可用，SmartX 榫卯超融合平台提供节点级高可用、资源调度及跨节点迁移能力，并支持海光 HCT 能力在节点故障或业务迁移场景下持续可用。

在弹性扩展方面，随着业务节点持续扩容，海光 HCT 的芯片级密码计算能力可随计算资源同步扩展，让密码服务能力与云平台资源统一伸缩。

落地参考

目前，该联合方案已在国泰海通证券关键业务场景中落地，帮助客户在满足密评合规要求的同时，提升关键业务在高并发、低时延场景下的密码服务性能和业务连续性保障能力。

未来，SmartX 将继续携手海光信息和格尔软件，持续深化联合方案创新，积累行业实践，推动云内密码基础设施持续演进，为更多行业客户构建高性能、高可用、可扩展的云内密码基础设施。