一种密码资源调配系统及方法

技术领域

本发明属于信息安全技术领域，尤其涉及一种密码资源调配系统及方法。

背景技术

随着对软件安全性的要求提高，各个业务系统都会采用一些密码技术来保障软件安全。

目前市面上密码产品设备种类、设备厂商繁多，各家密码设备没有统一的接口和标准，调用方式也各有不同导致应用在开发中耗时较多，增长了项目周期，严重拖延了业务系统上线时间，在安全上，不同厂商密码设备在业务系统调用时，要考虑的点各不相同；包括密钥的产生、密钥导入、密码管理、密码机状态等，这些因素导致开发时间成本巨大。

在开发中当下大部分开发的业务系统都是直接调用密码机，达到获取密码和密码相关操作，这样对密码资源没有进行合理的运用，不能充分利用密码资源，以至于对出现某服务密码资源不够用或是密码资源过多。当随着应用服务增加当前密码设备不足以支持当前服务需要时，对于密码资源不能合理、高效的进行利用密码资源又是一种浪费，导致在更换密码设备更是尤为困难。

在密码设备管理上，每家厂商管理密码设备的方式多有差异，当应用在开发完成后，无法实现应用中所需密码设备一体化管理，不能进行密码设备根据实际情况进行快速切换。

发明内容

针对上述技术问题，本发明提供一种密码资源调配方法及系统，提高密钥资源的利用率。

为达到上述目的，本发明采用的技术方案为：一种密码资源调配系统，包括密码设备连接池、虚拟化密码资源池、统一接口；

密码设备连接池：密码资源调配系统中录入密码设备的信息，密码设备连接池调用密码设备的信息中厂商提供的密码设备SDK并连接密码设备，密码设备连接池中可用连接信息即为密钥资源，保持密钥资源数达到外部应用所对应的设定最小阈值；

虚拟化密码资源池：虚拟化密码资源池是对密码设备连接池中具体的密钥资源的虚拟化，首先虚拟化池作为虚拟化密码资源池，虚拟化密钥资源池在获取密码设备连接池中的密码设备的基础上获取密钥资源信息，虚拟化密码资源池中建立并管理虚拟索引，即虚拟化密码资源池建立的与密码设备连接池中密码设备的密钥资源对应的虚拟索引。

在外部的各个应用系统进行使用的时候，只能得到密钥资源池的虚拟索引，无需获取底层密钥资源便可使用密钥资源，从而达到了屏蔽底层的密钥资源的目的。同时，将根据外部应用的使用情况，动态的对密码设备连接池中的连接数进行调整，保证了密码设备的设备连接池与密码资源池存在一个平衡状态。

虚拟化密码资源池对密钥资源的管理和使用是通过统一接口实现的，通过统一接口接收使用密钥资源的申请，或通过统一接口接收对密钥资源的释放申请达到释放密钥资源的作用。对外部应用而言，通过应用所对应的应用ID便可直接操作密钥资源进行使用，不用关心底层的密码实现，只由系统根据外部应用的密码业务需求，通过统一接口的接口规范和密钥资源的管理流程，分配任意密钥资源并记录即可，实现密钥资源最大化利用，而且通过对应的ID对密码资源进行使用可以保证密码资源调配系统的可靠性强。

进一步的，虚拟化密钥资源池通过计划任务调度，与密码设备连接池的密码设备进行拔测通信，当拨测异常时，将虚拟化密钥资源池中对应的密钥资源虚拟索引进行下线处理，维护密钥资源的可用性、正确性与稳定性。

进一步的，密码设备的信息包括密码设备的设备名称、密钥对数、所属厂商、设备型号信息；密码设备连接池通过录入的密码设备信息，适配对应的密码设备SDK并连接密码设备。

本发明还公开一种密码资源调配方法，包括如下步骤：

初始化密码设备连接池：录入密码设备的信息，通过密码设备的信息，调用密码设备对应的所属厂商对所述密码设备提供的SDK初始化密码设备连接池，密码设备连接池中可用连接信息即为密钥资源，保持密码设备连接池中可用密钥连接数达到外部应用所对应的设定最小阈值；

虚拟化密钥资源池在获取密码设备连接池中的密码设备的基础上获取密钥资源信息，并建立并管理与密码设备连接池中密码设备的密钥资源对应的虚拟索引；

虚拟化密码资源池通过统一接口接收使用密钥资源的申请，或通过统一接口接收释放密钥资源的申请，分配任意密钥资源虚拟索引并记录，在密码设备连接池中释放密钥资源虚拟索引对应的密钥资源。外部应用可以通过统一的接口来申请、释放管理密钥资源。

将密钥资源加入到密码设备连接池统一管理，此时密码设备连接池保持最少的密钥资源数。对于密钥连接数阈值而言默认的密码设备所有的可用连接数，而对于具体的应用而言，可以进行对阈值的合理设置，该设置优选与默认阈值，以达到应用的业务需求合理的阈值。

对外部应用而言，不用关心底层的密码实现，只由系统根据外部应用的密码业务需求，通过统一接口的接口规范和密钥资源的管理流程，分配任意密钥资源并记录即可，实现密钥资源最大化利用，且密码资源调配系统的可靠性强。

进一步的，密码设备的信息包括设备名称、密钥对数、所属厂商、设备型号等信息。

进一步的，根据密码设备初始化密码设备连接池，获得密码设备连接池的密钥资源，密码设备的密对数即为密钥资源数。

进一步的，虚拟化密钥资源池通过计划任务调度，与密码设备连接池的密码设备进行拔测通信，当拨测异常时，将虚拟化密钥资源池中对应的密钥资源虚拟索引进行下线处理，维护密钥资源的可用性、正确性与稳定性。

本发明具有以下有益效果：本方法可通过对各个厂商的不同密码设备进行统一的管理，用虚拟化技术来对底层密钥资源进行高效调配，得以提高密钥资源的利用率。

附图说明

图1为本发明实施例的密码资源调配系统发整体架构图。

图2为本发明实施例的密码资源调配方法的密码设备连接池初始化流程图。

图3为本发明实施例的密码资源调配方法的密码资源池的维护流程图。

具体实施方式

为了便于本领域技术人员的理解，下面结合实施例与附图对本发明作进一步的说明。

实施例1：本实施例的一种密码资源调配系统如图1所示，包括密码设备连接池、虚拟化密码资源池、统一接口；

系统初始化并启动后，需要根据物理密码设备的实际信息，在系统中录入密码设备的厂商信息和连接信息，系统通过录入的密码设备信息，将适配对应的密码设备SDK并连接密码设备，将正常可用的连接信息加入到密码设备连接池统一管理，密码设备连接池中可用连接信息即为密钥资源。将异常连接信息进行警报并继续重试，此时密码设备连接池保持最少的可用连接数；

虚拟化密码资源池：虚拟化密码资源池是对密码设备连接池中具体的密钥资源的虚拟化，首先虚拟化池作为虚拟化密码资源池，虚拟化密钥资源池在获取密码设备连接池中的密码设备的基础上获取密钥资源信息，虚拟化密码资源池中存放和管理虚拟索引，即虚拟化密码资源池建立的与密码设备连接池中密码设备的密钥资源对应的密钥资源的虚拟索引。在外部的各个应用系统进行使用的时候，只能得到密钥资源池的虚拟索引，无需获取底层密钥资源便可使用密钥资源，从而达到了屏蔽底层的密钥资源的目的。同时，将根据外部应用的使用情况，动态的对密码设备连接池中的连接数进行调整，保证了密码设备的设备连接池与密码资源池存在一个平衡状态。

虚拟化密码资源池对密钥资源的管理和使用是通过统一接口实现的，通过统一接口接收使用密钥资源的申请，或通过统一接口接收对密钥资源的释放申请达到释放密钥资源的作用。对外部应用而言，通过应用所对应的应用ID便可直接操作密钥资源进行使用，不用关心底层的密码实现，只由系统根据外部应用的密码业务需求，通过统一接口的接口规范和密钥资源的管理流程，分配任意密钥资源并记录即可，实现密钥资源最大化利用，而且通过对应的ID对密码资源进行使用可以保证密码资源调配系统的可靠性强。

密码资源调配方法，包括：密码设备连接池初始化步骤(如图2所示)：

录入密码设备的设备名称信息、可用密钥对数、所属厂商、设备型号等信息，通过所属厂商与设备型号，调用对应密码设备厂商提供的SDK，初始化设备连接池，密码设备连接池保持密码设备连接池中可用连接数保持默认最小阈值，对于密钥连接数阈值而言默认的密码设备所有的可用连接数，而对于具体的应用而言，可以进行对阈值的合理设置，该设置优选与默认阈值，以达到应用的业务需求合理的阈值；

密码资源池的维护步骤(如图3所示)：

通过对各个密码设备的集中管理，将密码设备抽象为密码资源，虚拟化出一个整体的密钥资源池，虚拟化密钥资源池中的密钥资源与各个实体的密码设备的密钥资源对应，但虚拟化密钥资源池有自己的单独虚拟索引。在外部的各个应用系统进行使用的时候，只能得到密钥资源池的虚拟索引，从而屏蔽底层的密钥资源具体实现。

虚拟化密钥资源池自身通过计划任务调度的方式，与底层的密码设备进行定时拔测通信，当拨测异常时，将虚拟化密钥资源池中对应的密钥资源虚拟索引进行下线处理，用来维护与保障密钥资源池中的密钥的可用性、正确性与稳定性。

实施例2：

1、新增某厂商密码设备D1，可用密钥为10，对应的索引分别是1-10。

2、新增某厂商密码设备D2，可用密钥为20，对应的索引分别是1-20。

3、根据D1与D2，分别初始化连接池P1与P2，此时D1的可用资源数则为10，索引分别是1-10，D2的可用资源数为20,索引为1-20。

4、初始化虚拟化密码资源池，计算其密钥资源可用总量为D1与D2的合计，即30个可用资源数，且互斥，并计算对应的密钥资源虚拟索引为V1至V30。

5、系统分配V1-V10对应D1的10个可用密钥资源。V11-V30对应D2的20个可用密钥资源。密钥资源池可对外提供统一的申请、释放密钥接口，对外部业务应用而言，申请密钥资源的时候，系统只分配其V1-V30中的任意密钥资源并记录即可。

对外部应用而言，不用关心底层的密码实现，只由系统根据外部应用的密码业务需求，通过统一的接口规范和完善的管理流程，合理分配调度密码资源，实现密码资源最大化利用，同时也增强了密码应用的可靠性。

以上的实施例仅为说明本发明的技术思想，不能以此限定本发明的保护范围，凡是按照本发明提出的技术思想，在技术方案基础上所做的任何改动，均落入本发明保护范围之内。