KMS（Key Management System）作為信息安全系統中的組成部分，在互聯網中發揮著非常重要的作用，我們常見的證書機構、加密系統等都離不開KMS。我們現著手設計一個基於HSM的KMS系統。

1. 系統架構組件

1.1 客戶端接口

KMS的作用是位客戶端提供密鑰管理服務，因此必須對外開放對應的服務藉口，不同的服務藉口需要由一個API網關進行管理。並且，由於客戶端的使用場景不同，可能涉及不同的開發語言，因此需要提供一個SDK給不同的客戶端使用，方便客戶端集成KMS服務。

API Gateway：提供API接口，方便外部系統和內部系統調用
SDK：提供不同語言的服務接口，方便客戶端集成KMS服務
1.2. 密鑰管理服務

KMS主要就是提供密鑰管理能力的，因此密鑰管理服務就是KMS的核心部分，主要包括以下內容：
密鑰生成服務：支持對稱密鑰和非對稱密鑰生成
密鑰存儲服務：對稱密鑰和非對稱密鑰私鑰存儲HSM，公鑰可以導出
密鑰輪換服務：支持密鑰定期更新
密鑰銷毀服務：安全銷毀不再使用的密鑰
1.3 加解密服務
數據加密服務：支持以密鑰識別碼方式對數據進行加密，密鑰不出KMS
數據解密服務：支持以密鑰識別碼形式對數據進行解密，密鑰不出KMS
1.4 簽名與驗證服務
簽名服務：使用密鑰識別碼對應的私鑰對數據進行簽名，私鑰不出KMS
驗證服務：使用公鑰/密鑰識別碼對應公鑰對數據進行驗證
1.5 訪問控制和安全

KMS需要配置安全訪問，禁止任何未授權的行為，並對所有行為進行日誌紀錄，以便後續審計。
身份認證：基於OAuth2.0對用戶和服務進行授權訪問
訪問控制：基於角色的訪問控制（RBAC）
審計日誌：紀錄所有除查詢外的行為

kms_high_level drawio