(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210880316.9 (22)申请日 2022.07.25 (71)申请人 阿里云计算有限公司 地址 310012 浙江省杭州市西湖区转塘科 技经济区块12号 (72)发明人 李海滨　彭忠泓　侯永福　王翾旻　 范煜　陈俊朴　 (74)专利代理 机构 北京太合九思知识产权代理 有限公司 1 1610 专利代理师 孙明子　刘戈 (51)Int.Cl. H04L 9/40(2022.01) H04L 9/08(2006.01) G06F 21/62(2013.01) (54)发明名称 密钥管理服务系统、 密钥管理方法、 网关及 设备 (57)摘要 本发明实施例提供了一种密钥管理服务系 统、 密钥管理方法、 网关及设备， 系统包括： 密钥 管理服务KMS网关和与KMS网关通信连接的至少 一个专属KMS； KMS网关用于获取密钥管理请求， 在密钥管理请求对应一专属KMS时， 则将密钥管 理请求转发至专属KMS； 专属KMS用于接收密钥管 理请求， 基于密钥管理请求调用与专属KMS相对 应的专属密码机资源池， 并利用专属密码机资源 池进行密钥管理操作。 本实施例提供的技术方 案， 在密钥管理请求与专属KMS对应时， 通过KMS 网关将密钥管理请求转发至专属KMS， 而后通过 专属密码 机资源池进行密钥管 理操作， 确保了密 钥计算和存储的整个操作都是独享的， 提高了密 钥存储和运算的安全性和合 规性。 权利要求书3页 说明书23页 附图6页 CN 115314264 A 2022.11.08 CN 115314264 A 1.一种密钥管理服务系统， 其特征在于， 包括： 密钥管理服务KMS网关和与所述KMS网关 通信连接的至少一个专属KMS； 其中， 所述KMS网关， 用于获取密钥管理请求， 在所述密钥管理请求对应一专属KMS时， 则将所 述密钥管理请求 转发至所述专属KMS； 所述专属KMS， 用于接收所述密钥管理请求， 基于所述密钥管理请求调用与所述专属 KMS相对应的专属密码机资源 池， 并利用所述专属密码机资源 池进行密钥管理操作。 2.根据权利要求1所述的系统， 其特征在于， 所述专属KMS通信连接有专有网络的专有 网关， 所述专属KMS， 还用于： 通过所述专有网关获取 数据加解密请求； 基于所述数据加解密请求， 调用所述专属密码机资源池生成与 所述数据加解密请求相 对应的数据密钥； 基于所述数据密钥进行 数据的加解密操作。 3.根据权利要求1所述的系统， 其特征在于， 在所述KMS网关获取密钥管理请求之后， 所 述KMS网关还用于： 确定所述密钥管理请求所对应的请求类型以及请求所在网络； 在所述请求类型为预设管控请求， 且所述请求所在网络为预设合法网络， 则允许将所 述密钥管理请求发送至所述专属KMS； 在所述请求类型为预设的密钥运算请求或密钥存储请求， 或者， 所述请求所在网络为 非法网络时， 则禁止将所述密钥管理请求发送至所述专属KMS。 4.根据权利要求1所述的系统， 其特征在于， 所述系统还包括与所述KMS网关通信连接 的共享KMS； 所述KMS网关， 还用于在获取密钥管理请求之后， 将所述密钥管理请求发送至共享KMS； 所述共享KMS， 用于接收所述密钥管理请求， 并确定与所述密钥管理请求相对应的用户 主密钥， 将所述用户主密钥发送至所述KMS网关； 所述KMS网关， 用于获取所述用户主密钥， 并基于所述用户主密钥识别所述密钥管理请 求是否对应一专属KMS。 5.根据权利要求 4所述的系统， 其特 征在于， 所述KMS网关， 具体用于： 获取所述用户主密钥中的密钥元 数据； 基于所述密钥元数据， 确定所述密钥管理请求是否对应一专属KMS， 且在所述密钥管理 请求对应一专属KMS时， 则基于所述密钥元数据确定与所述密钥管理请求相对应的专属 KMS。 6.根据权利要求2所述的系统， 其特征在于， 在所述专属KMS通过所述专有网关获取数 据加解密请求之前， 或者， 在所述专属KMS接收所述密钥管理请求之前， 所述专属KMS还用 于： 获取用户输入的与所述专属KMS相对应的凭证 配置信息； 基于所述凭证 配置信息， 生成与所述专属KMS相对应的授权凭证； 对所述授权凭证进行保存， 以对所述数据加解密请求或者所述密钥管理请求进行合法 性识别。 7.根据权利要求2所述的系统， 其特征在于， 在所述专属KMS通过所述专有网关获取数权　利　要　求　书 1/3 页 2 CN 115314264 A 2据加解密请求之前， 或者， 在所述专属KMS接收所述密钥管理请求之前， 所述专属KMS还用 于： 获取用户输入的所述专属密码机资源 池的配置信息； 基于所述配置信息， 生成所述专属密码机资源 池。 8.一种密钥管理方法， 其特征在于， 应用于密钥管理服务KMS网关， 所述KMS网关通信连 接有共享KMS和至少一个专属KMS； 所述方法包括： 获取密钥管理请求； 通过所述共享KMS识别所述密钥管理请求是否对应一专属KMS； 在所述密钥管理请求对应一专属KMS时， 则将所述密钥管理请求转发至所对应的专属 KMS。 9.根据权利要求8所述的方法， 其特征在于， 在获取密钥管理请求之后， 所述方法还包 括： 确定所述密钥管理请求所对应的请求类型以及请求所在网络； 在所述请求类型为预设管控请求， 且所述请求所在网络为预设合法网络， 则允许将所 述密钥管理请求发送至所述专属KMS； 在所述请求类型为预设的密钥运算请求或密钥存储请求， 或者， 所述请求所在网络为 非法网络时， 则禁止将所述密钥管理请求发送至所述专属KMS。 10.根据权利要求8所述的方法， 其特征在于， 通过所述共享KMS识别所述密钥管理请求 是否对应一专属KMS， 包括： 将所述密钥管理请求发送至所述共享KMS； 通过所述共享KMS获取与所述密钥管理请求相对应的用户主密钥； 基于所述用户主密钥识别所述密钥管理请求是否对应一专属KMS。 11.一种密钥管理方法， 其特征在于， 应用于专属密钥管理服务KMS， 所述专属KMS网关 通信连接有KMS网关； 所述方法包括： 接收所述KMS网关发送的密钥管理请求； 基于所述密钥管理请求调用与所述专属KMS相对应的专属密码机资源 池； 利用所述专属密码机资源 池进行密钥管理操作。 12.根据权利要求11所述的方法， 其特征在于， 所述专属KMS通信连接有专有网络的专 有网关； 所述方法还 包括： 通过所述专有网关获取 数据加解密请求； 基于所述数据加解密请求， 调用所述专属密码机资源池生成与 所述数据加解密请求相 对应的数据密钥； 基于所述数据密钥进行 数据的加解密操作。 13.一种密钥管理方法， 其特征在于， 应用于共享密钥管理服务KMS， 其中， 共享KMS通信 连接有KMS网关； 所述方法包括： 通过KMS网关获取密钥管理请求； 确定与所述密钥管理请求相对应的用户主密钥； 将所述用户主密钥发送至所述KMS网关， 以使所述KMS网关基于所述用户主密钥识别所 述密钥管理请求是否对应一专属KMS。权　利　要　求　书 2/3 页 3 CN 115314264 A 3