密码机的定位
密码机（HSM）负责生成与保管密钥、执行密码运算。它的核心价值是让密钥不出机：私钥与主密钥在设备内部生成和使用，外部只调用运算接口，从而把密钥泄露面收敛到设备本身。文件加密、证书签发、签名验签、支付与密钥托管等场景都依赖密码机，运维重点因此落在权限分设、操作留痕与备份可恢复三件事上。
基本信息
| 适用平台 | 以硬件设备或密码卡形态部署在机房的服务器侧 |
|---|---|
| 常见接口 | PKCS#11、国密 SDF、JCE 等标准或厂商接口 |
| 安全等级 | 产品按 GB/T 37092 的 1-4 级标注能力 |
| 角色划分 | 管理员 / 操作员 / 审计员三类角色分设 |
| 部署要点 | 双机热备，主密钥备份按规范分离保管 |
典型使用场景
- 证书签发：CA 私钥在密码机内完成签名，不落地到磁盘
- 数据库与文件加密：密钥托管在密码机，应用只发起加解密调用
- 支付与交易签名：签名运算在机内完成，满足密钥不出机要求
- 等保与密评整改：补上密钥管理与密码运算合规能力
- 密钥托管与恢复：主密钥备份与灾难恢复演练
运维检查点
运维检查点
# 1 角色分设：管理员 / 操作员 / 审计员，敏感操作双人授权
hsm-cli user list # 确认角色与人员对应关系
# 2 密钥不出机：导出密钥需授权且加密保护
hsm-cli key export --auth # 非必要不导出，导出即留痕
# 3 审计日志：管理操作与密钥操作全记录，可导出留存
hsm-cli log export --since 7d # 定期导出并归档到日志平台
# 4 备份恢复：主密钥备份按规范保管并定期做恢复演练
# 5 高可用：双机热备与故障切换验证检查项与判据
| 检查项 | 合规做法 | 风险表现 |
|---|---|---|
| 账号口令 | 一人一口令、强度达标 | 多人共用管理员口令 |
| 角色权限 | 三权分立、双人授权 | 一人同时持有管理与操作权限 |
| 审计日志 | 定期导出并异地留存 | 日志只存设备本地且滚动覆盖 |
| 备份演练 | 定期恢复演练并留记录 | 备份介质从未验证可用 |
密码机口令与主密钥备份介质是高风险资产：应使用强口令、分离保管、登记领用，并纳入变更与离岗管理流程。