信息安全技术公基础设施KI系统安全等级保护技术要求

1信息平安技术公共根底设施PKI系统平安等级保护技术要求

引言公开密钥根底设施〔PKI〕是集机构、系统〔硬件和软件〕、人员、程序、策略和协议为一体，利用公钥概念和技术来实施和提供平安效劳的、具有普适性的平安根底设施。PKI系统是通过颁发与管理公钥证书的方式为终端用户提供效劳的系统，包括CA、RA、资料库等根本逻辑部件和OCSP等可选效劳部件以及所依赖的运行环境。

?PKI系统平安等级保护技术要求?按五级划分的原那么，制定PKI系统平安等级保护技术要求，详细说明了为实现GB/TAAA—200×所提出的PKI系统五个平安保护等级应采取的平安技术要求、为确保这些平安技术所实现的平安功能能够到达其应具有的平安性而采取的保证措施，以及各平安技术要求在不同平安级中具体实现上的差异。第一级为最低级别，第五级为最高级别，随着等级的提高，PKI系统平安等级保护的要求也随之递增。正文中字体为黑体加粗的内容为本级新增局部的要求。

信息平安技术公钥根底设施

PKI系统平安等级保护技术要求续1鲜范围肝本标勇准依射据G逆B/而T苗AA穷A—丹20仁0×似的五孙个安棋全保茄护等赛级的胖划分蹦，规库定了窝不同律等级示PK煎I系配统所乏需要单的安父全技嫩术要眼求。危

料本标吧准适宪用于择PK勇I系味统的敬设计界和实也现，隆对于胁PK积I系押统安办全功羡能的忆研制仆、开昆发、汽测试山和产灵品采唉购亦痰可参螺照使屿用。竞2指标准御性引纤用文逝件志以下午文件鼠中的蛙条款休通过怠本标尝准的赢引用病而成斧为本中标准准的条庙款。推但凡幕注日者期的押引用看文件落，其亭随后锐所有侄的修置改单致〔不坛包括的勘误压的内期容〕开或修惰订版潮均不艺适用蚂于本说标准必，然利而，仿提倡连使用山本标疼准的纵各方奔探讨忌使用共其最踪新悔版本然的可迫能性笨。凡立是不劝注日迷期的妹引用纤文件糟，其钥最新肝版本来适用俭于本蜜标准粒。

费GB快/T匪1造97刮13难-2颠00疏5扎信息夫平安贤技术邪公鲜钥基猫础设丰施灯在线蚁证书罩状态妖协议邮

润GB滥/T哲2位02厨71些-2她00案6洒信息耽平安照技术般信恭息系矩统通草用安抹全技症术要脾求

参GB艘/T石2瓦05笔18预-2垃00环6葡信息沫平安消技术乡公缎钥基发础设地施姿数字杜证书士格式钻

纪GB经/T跌2凉10从54置-2离00戚7验信息荡平安累技术匠公陵钥基纪础设披施颤PK练I系超统安催全等滚级保闭护评战估准坊那么

岁GB遍/T蛇2波10均52损-2阿00互7妇信息样平安糠技术裤信那么息系弦统物庙理安窗全技需术要亮求

蓝GB赏/T济20膜98足4-呢20组07去信基息安始全技院术细信息速平安虑风险月评估样指南诉3荒术语奋和定既义掏以下姨术语填和定狂义适挎用于骄本标售准。养3.萌1彻

公街开密女钥基团础设点施〔纱PK愿I〕牢p秤ub俊li类c巨ke桶y戒in唐fr锁as妖tr蔽uc软tu灶re梢(冲PK懒I)谜公开达密钥缠根底摄设施疤是支砖持公钓钥管堡理体钓制的叔根底挑设施理，提灵供鉴帽别、笼加密肢、完芹整性泉和不产可否普认性警效劳圣。那3.役2类PK惑I系垮统弃PK旬I谋sy根st竖em荡

邮PK陶I系巩统是高通过脸颁发呼与管机理公嘉钥证向书的途方式小为终翠端用半户提舞供服佣务的丑系统疏，包凑括C廉A、香RA告、资恭料库黑等基痕本逻疯辑部宋件和莲OC撇SP仰等可食选服冠务部贡件以旷及所遮依赖辩的运痛行环尺境。够3.疏3粪

安斗全策素略蠢se顷cu洗ri蒸ty旁p涂ol删ic笼y散一系陶列安邀全规劲那么的天准确喂规定英，包再括从牺本标辞准中统派生抛出的棋规那么吼和供刺应商歌添加运的规忌那么。轨3.舒4扫

分沟割知访识促sp罚li私t腾kn墙ow亩le乐dg挽e遍两个至或两鲜个以鼓上实亦体分划别保元存密贴钥的致一部秆分，停密钥诉的每颤个部荐分都山不应敲泄露巡密钥针的明蔑文有渠效信护息，陪而当架这些姥局部倍在加摸密模察块中格合在幼一起篇时可僵以得蚕到密涌钥的匹全部道信息滋，这迫种方杀法就躬叫分农割知礼识。自3.淡5指

分箱割知刮识程言序罗sp滚li秧t脊kn慧ow楼le炎dg横e拉pr伐oc百ed秧ur捏e烈用来强实现咏分割冈知识金的程善序。狸3.钓6厉

保唐护轮厕廓莫pr昨ot焰ec宝ti徒on越p陪ro喘fi骆le

纹一系峡列满触足特智定用想户需宽求的株、为懒一类凑评估联对象织独立唇实现俭的安捷全要援求。崇3.咸7降

关葵键性抖扩展拖c册ri猎ti吗ca绸l首ex越te马ns领io帽n佳证书汇或C轨RL歇中一酬定能滴够被滚识别公的扩乳展项蒸，假设古不能魄识别拾，该锤证书同或C弱RL微就无够法被膏使用森。惹3.绿8药

审杯计踪蒙迹叔au酿di呆t妖tr俯ai值l税记录才一系甲列审膀计信跟息和休事件妈的日狭志。耽3.血9概

系运统用蒸户虽sy受st伍em涨u歇se坐r便对P辉KI滴系统幸进行鉴管理棉、操川作、云审计遥、备闭份、齿恢复称的工逐作人档员，洪系统苍用户姐一般桐在P训KI青系统上中被宰赋予泳了指丝定的闭角色壳。黎3.滨10辈

终忽端用角户奶te耀rm至in尺at斑e嗽us研er辛使用掀PK乏I系歉统所乳提供话效劳颠的远透程普睛通用复户。她4锅缩略币语查以下两缩略编语适拔用于略本标城准：望

没CA键认该证机覆构遣Ce吊rt纱if鸟ic他at榴io铲n诞Au塘th王or押it怕y

独CP友S闭认证扮惯例宰陈述疼Ce棉rt寨if萌ic红at森io陷n层Pr朴ac套ti鸟ce惹S叮ta限te纪me傲nt克

牌CR枪L鲁证书弟撤销嘴列表迟Ce冈rt律if楚ic烛at压e洋Re雕vo撇ca锋ti抓on街L笨is失t

两OC护SP梢在炭线证百书状念态协正议O折nl梁in蜘e偶Ce谊rt草if蔬ic拜at寨e糠St春at哈us旺P鄙ro冰to摘co满l

坐PP锈保授护轮尽廓P鹅ro隙te辅ct蜓io匆n涨Pr搭of您il随e

坡RA作注超册机择构R负eg坏is诚tr续at榜io演n坟Au各th停or流it酷y

俯TO税E混评估土对象嫩Ta荒rg税et变O网f店Ev狐al靠ua刺ti品on根

兔TS伞F请TO宾E安瓶全功具能T汁OE行S倚ec交ur搬it齿y旦Fu妈nc愤ti辱on杯5将平安令等级策保护悔技术碑要求厨5.竹1贿第一臭级泄5.简1.卷1偶概述址第一之级的纵PK暖I系葱统，裁由用逼户自爪主保矩护，酬所保蜻护的提资产贞价值隙很低古，面那么临的械平安沸威胁背很小群，适泉用于孤平安束要求部非常容低的船企业疗级P饮KI超系统惊。P厅KI别系统扎面临声的风丑险，卡应按掩照G阔B/救T擦20秩98都4—孕20直07杠进行斥评估内。结筑构设站计上顶，P史KI饶系统锦的C耀A、刃RA角、证仙书资覆料库雀可不贵进行弹明确闸的分倒化，贼所有阶功能丢软件献模块庆可全宵部安崭装在显同一葬台计锹算机叔系统滨上。疫第一戚级P拌KI衰系统贩的安好全要水素要难求列肿表见明附录声A。英5.钞1.胳2薄物理晴平安范进行雁PK凳I系食统硬钩件设盒备、作相关价环境其和系利统安田全的抚设计口时，炮应按页照G汽B/奖T略21右05著2—册20速07艰第4驴章所活描述钓的要娃求。蜘5.愧1.腐3啄角色技与责抗任归开发桶者应要提供汽PK猴I系提统管快理员紧和操津作员折的角爆色定麦义。找

眉管理欠员角草色负吹责：泳安装宿、配柱置、饲维护瓣系统榨；建财立和塑管理陆用户裹账户裁；配帖置轮绣廓；揉生成购部件虹密钥跳。

利操作凉员角乖色负不责：跟签发羡和撤丙销证拦书。尾

笛角色崭的安下全功千能管葵理应率按表秒1中秃的配帅置对燕授权喂的角趋色修茅改安杰全功善能的奉能力常进行紧限制岩。耻5.阿1.圆4拘访问腹控制妙5.跌1.查4.写1睁系统缓用户摩访问过控制夸PK鬼I系榴统文坟档中敞，应牺有访虹问控仰制的咱相关斑文档迈，访勇问控秆制文肚档中案的访睁问控础制策榨略应联包含鸦如下北几个租方面敲：穿a)狭角昂色及萄其相绢应的袖访问材权限视

恒角色主及其胞相应虚的访史问权拍限的屑分配写见表吊2。购b)挂标液识与豆鉴别六系统苍用户侦的过穴程

挨应符读合5段.1劫.5控的要哪求。鸣c)膜角贵色的参职能胁分割

企应符舌合5工.1胜.3致的要头求。扛5.省1.黑4.外2叠网络轨访问曾控制睡进行蹈远程缠访问唐时，输PK露I系女统应享提供乔访问疏控制厘。远怪程用夜户只讨有被贡认证捧通过坐后，剃PK钳I系炉统才矮允许布访问侍，并虑只对撑授权泄用户嚼提供绵被授好权使丽用的裙效劳富。远鄙程计罢算机冶系统弓与P晒KI影系统杨的连鸣接应嘉被认号证，卵认证宪方法孕包括吩计算饥机宿地址食、访防问时好间、创拥有亮的密陆钥等梦。P老KI距系统唤应定献义网末络访君问控蝴制策艳略。违5.壮1.跑5酸标识掘与鉴晨别足标识独与鉴导别包暴括建通立每撒一个出用户雪所声避称的胞身份卡，和法验证牵每一纱个用挣户确坦实是妈他所念声称基的用妨户。济确保嚼用户混与正销确的甲平安躁属性迫相关柳联。俗5.果1.检5.忙1赢用户飘属性行定义特PK扬I系拍统应细维护妻每个胖用户农的安完全属裙性。忘

励平安拾属性允包括置但不蠢限于惠身份阔、组躁、角伏色、地许可箭、安景全和辜完整功性等弊级。孙5.聋1.旺5.秆2惕用户杨鉴别秋PK翅I系权统的竞平安雁功能侧应预脱先设汤定P润KI液系统卸代表年用户强执行盾的、慈与安虫全功谈能无魄关的喉动作荐，在表用户踢身份微被鉴矛别之边前，宪允许鹊PK祖I系况统执舰行这废些预肥设动趣作，德包括须：仙a)懂响涝应查漠询公敞开信丝息〔士如：灵在线娃证书授状态政查询撤等〕棍;

证b)企接细收用武户发村来的颜数据茅，但渐直到泰系统涌用户寒批准户之后发才处暮理。

武管理各员应需对鉴嗓别数企据进年行管荷理。丸

禾PK液I系枝统应闹定义研所支层持的螺用户尝鉴别宿机制哪的类集型。蝴5.顷1.陕5.凳3痰用户贴标识急PK法I系引统的盟平安阵功能咬应预松先设鸽定P睬KI歼系统港代表曲用户融执行屑的、贤与安戏全功甚能无解关的啄动作厌，在坡标识绪用户批身份编之前箩，允映许P掘KI兴系统乒执行者这些喇预设选动作完，包捡括：织a)甚响怠应查害询公吐开信哨息〔沙如：攀在线块证书重状态于查询敬等〕闭;

隔b)延接袜收用押户发劫来的它数据势，但滥直到配系统门用户啊批准慰之后川才处泽理。

邮5.锋1.悲5.文4亩用户级主体瑞绑定团在P把KI庸系统漂平安宣功能乘控制孔范围崇之内币，对孔一个敲已标誓识与蒜鉴别首的用负户，童为了刑完成氏某个传任务艳，需凶要激纵活另楼一个毯主体芹，这波时，温应通爬过用孙户主睁体绑舌定将跟该用铲户与捐该主怨体相磁关联碰，从转而将荡用户租的身奏份与沉该用竟户的巩所有暮可审乡计行府为相蝶关联陵，使叮用户俘对自梳己的姻行为盗负责缴。标5.龄1.时6陕数据但输入穴输出峡5.窄1.印6.撒1蛛TS笛F间藏用户液数据气传送芳的保炎密性庸当用虏户数柴据通愧过外鸭部信缺道在精PK谷I系伤统之蚁间或梳PK累I系列统用迁户之忙间传点递时笋，P遗KI装系统腿应执咸行访振问控信制策深略，倘使得肾能以蚊某种童防止幻未授伪权泄疼露的平方式沉传送输用户护数据拐。氧5.匀1.塌6.仍2交输出你TS候F数巨据的馅保密类性阻在T看SF犬数据广从T渔SF极到远炉程可务信I另T产改品的吓传送怀过程尚中，齐应保喷护机伤密数竭据不渴被未因授权回泄露辜。寇这些蹦机密触数据最可以土是T延SF征的关莲键数麻据，扑如口厌令、己密钥今、审社计数刑据或缝TS我F的宗可执旷行代牢码。敞5.调1.坟7获密钥辉管理回5.念1.但7.要1涉密钥刚生成矛5.抵1.深7.抽1.恶1册PK贞I系善统密灵钥生蒸成瑞系统典用户汪密钥哭生成工应由活相应验级别展的C曲A或慎RA杏等机携构进包行，汤可用舟软件这方法萍产生伪，生灰成算位法和肠密钥厨长度挎等应蹲符合福国家令密码悠行政光管理个部门师的规似定。鼻在进振行密繁钥生挥成时侵，P概KI棋系统私应限箩制非餐授权虽人员益的参款与。蹈C彩A签萄名饼公私渗钥对摩应采萝用国艰家密歉码行叮政管蛇理部张门认仔可的米方法耐生成杰，可爆用软你件方梦法或梨硬件傻密码作设备杯产生株。在丘密钥瓜生成雄时应崖检查违用户幕角色垃，并蹦设置循为只监有管净理员次才能族启动亦CA宗密钥众生成捏过程窜。研5.沙1.耻7.坚1.日2侵终端殖用户蹈密钥穿生成态终端丑用户巾的密确钥可问由用挠户自顺己生跨成，累也可掀委托荣CA捧、R肤A等削PK斩I系仆统的损效劳奇机构腊生成乡。

葱终端蝇用户助密钥闷可用庭软件叙方法批产生犁，生刻成算闭法和朱密钥星长度勤等应醋符合唇国家元密码辆行政饶管理静部门淹的规毅定。换5.角1.光7.范2轿密钥牲传送渣与分贵发家5.漏1.耗7.愿2.播1掉PK罗I系枝统密踩钥传将送与躁分发假设系统芒用户吉密钥养的传义送与齐分发声应以眠加密绵形式票直接筛发送速到系颈统用所户证棕书载岁体中堵，加棕密算陷法等赌应符计合国倡家密墓码行扬政管竖理部流门的碧规定劫。

受CA垄公钥登分发倒方法姿应适昼当、设切实欧可行轮，如俩提供伪根证服书和意CA轧证书慈下载盯、或悼与终苗端用池户证张书一壶起下灯载等言，应猎符合拥国家援密码赤行政阁管理哄部门临对密井钥分庆发的盏相关动规定娘。舰5.献1.浇7.饰2.齿2喂终端膀用户锡密钥睁传送吼与分袍发余如果雾终端级用户外自己渴生成秘密钥驰对，骆把公鲁钥传耳送给缓CA巧是证显书注渔册过恨程的脏一部穗分。烟终端倡用户暮应将腰公钥宾平安软的提也交给垄CA猛，如滥使用坦证书跳载体度等方蚕法进蜻行面跃对面高传送砌。

在如果莲终端罚用户现委托宅CA脚生成苍密钥穗对，经那么不轮需要惧签发谨前的懂终端孩用户周公钥怀传送减。C丈A向趣用户凉传送猛与分士发私棵钥应桐以加回密形黑式进豪行，雄加密筐算法骄等应阴符合傅国家欣密码移行政白管理马部门亩的规斧定。怨5.煮1.似7.号3否密钥上存储说系统言用户乱密钥鸭可用杀软件父加密京的形声式存促储，仆加密迹算法窄应符尿合国能家密忍码行纠政管贡理部哪门的津规定桑。

愁CA店签名虽私钥等应存吵储于煎国家弟密码加行政环管理萍部门城规定右的密站码模份块中悠或由套硬件聪密码顺设备袖加密振后存程储。枪终拌端用叼户密苹钥由炎用户负自行世存储村。且5.悉1.亿8致轮廓谣管理罢5.迹1.乔8.状1棵证书动轮廓防管理天证书腿轮廓汤定义酷证书达中的隐字段总和扩申展可片能的隔值，买这些怠字段烤和扩象展应连与G偿B/仗T寻20刻51姻8-辨20献06币标准弟相一曾致。弃证书闭轮廓比包括存的信茫息有疑：解a)狮与各密钥骆绑定狭的用麦户的咐标识炭符；中

气b)魔主显体的转公私逼密钥智对可吼使用终的加龙密算面法；巴

刺c)拒证存书发抬布者清的标芽识符柏；

拔d)航证僵书有娇效时显间的愉限定回；

外e)摘证吐书包刷括的俊附加六信息泼；

史f)郑证黎书的胆主体退是否客是C闹A；讯

筹g)拦与胡证书笋相对激应的叙私钥臂可执刷行的担操作藏；

门h)伯证煮书发捞布所帮使用露的策逃略。

呜PK蝶I系此统应魄具备奖证书映轮廓购，并喉保证纷发布汇的证解书与燥证书驾轮廓速中的贤描述兽一致宇。P装KI齐系统锁管理抹员应嫩为以辈下字但段和帖扩展源指定尖可能劣的值味：葛a)险密恶钥所河有者序的标捎识符甲；

俱b)小公兽私密粥钥对坏主体奥的算祥法标巨识符谦；

飞c)蹦证本书发名布者者的标暮识符霞；

抽d)息证竹书的衣有效符期；

云5.航1.晃8.菜2渣证书幼撤销绍列表采轮廓课管理霜证书邀撤消川列表量轮廓仆用于艰定义年CR米L中盟字段席和扩辈展中涂可接死受的驻值，旋这些赤字段暖和扩铃展应高与G脑B/樱T放20号51陈8-润20票06煮标准殃相一另致。滔CR愿L轮告廓可返能要挂定义逮的值零包括买：玩a)溜C支RL闷可能厘或者租必须尾包括拆的扩再展和霞每一岁扩展也的可膝能的以值；锤

偿b)些C且RL么的发目布者葵；

发c)拖C径RL涝的下馋次更肾新日捞期。

居假设P持KI喝系统诞发布旺CR垂L，罗那么应粘具备坐证书案撤销疏列表天轮廓羞，并专保证面发布他的C际RL迁与该灶轮廓铜中的凉规定引相一涉致。躬PK数I系种统管踩理员毯应规床定以采下字怖段和宁扩展补的可蓬能的涨取值枣:惕a)燕i吴ss谊ue胆r；代

浸b)以i迁ss棒ue促rA妖lt足Na椒me网。

惭5.体1.角8.走3皱在线路证书坑状态紧协议督轮廓霸管理领在线顾证书朽状态香协议糖轮廓困用于割定义欲一系浸列在埋OC脂SP寻响应答中可斤接受响的值陷。O均CS役P轮井廓应谋规定冰PK颜I系遍统可版能产脸生的誓OC炊SP疑响应维的类销型和挺这些踪类型蒙可接员受的盟值。显

穷a)蛛假设甘PK伞I系崇统发动布O蹲CS谈P响厅应，研PK河I系暂统应沃具备宜OC洲SP海轮廓坦并保尝证O秒CS晃P响扔应与详轮廓良一致勿；

衫b)陡假设屡PK浙I系时统发浪布O浪CS坑P响渴应，博PK们I系逮统应酸要求画管理劫员为谈re盏sp璃on晴se王Ty稼pe艇字段咱指定铁可接栋受的掏值；秧

亭c)省假设蛇PK助I系受统允贺许使繁用基狮本响漆应类裂型(骆ba莫si循c咬re物sp秤on堤se扎t翻yp枕e)豪的O辫CS躺P响纳应，纷那么P黑KI编系统牛管理膜员应

卸为R浆es找po番nd胃er划ID配指定拼可接恢受的孕值。

猛5.扶1.岸9造证书县管理海5.康1.科9.朋1国证书涂注册绝PK杜I系佛统所值签发晋的公丧钥证止书应凳与G智B/粮T恩20脉51截8-庆20冬06锦相一森致。翁任何混证书赠所包柱含的拖字段浸或扩共展应马被P钩KI订系统悦根据光GB腐/T坚2困05园18杨-2裹00迁6生仪成或见经由屿颁发督机构择验证被以保绍证其尊与标翼准的倒一致获性。帽输吗入证踩书字翠段和犬扩展就中的计数据罗应被以批准扯。证堵书字鹿段或梅扩展偏的值旋可有墙以下街4种艰方式缺获得去批准搅：

窗a)似数顽据被蝴操作蛋员手弦工批献准；单

嫌b)笼自航动过如程检扫查和奋批准羞数据鹿；

顶c)密字认段或远扩展钉的值姿由P场KI肾系统形自动召的生各成；赖

晒d)他字婆段或缸扩展策的值亿从证逼书轮莲廓中沿获得俘。

陵进行亦证书锐生成争时，坛a)探应窜仅产撇生与龟GB斜/T如2排05鲁18桐-2苏00垮6中搅规定取的证丽书格魂式相订同的沾证书个；

颂b)此应慌仅生河成与祝现行善证书魄轮廓塞中定凤义相评符的傲证书齐；

仙c)屯P辰KI眠系统仍应验寺证预傅期的候证书株主体黎拥有巾与证获书中诚包含模的公车钥相毕对应磁的私鼓钥，组除非地公私权密钥孔对是浅由P矿KI稍系统猫所产稿生的脸；

腹d)鸡P件KI勒系统浅应保亏证：同

览1)蔽v员er仪si忘on产字段洋应为去0，止1，哪2；烘

达2)胜假设盈包含奥is扰su扰er戴Un坊iq产ue医ID皇或s那么ub缎je存ct炊Un躁iq传ue涉ID攀字段牲那么v严er姨si屈on索字段靠应为压1或扑2；宝

垄3)纲假设社证书障包含复ex害te概ns凯io鸽ns仓那么稻ve舌rs充io桨n字怒段应盐为2心；

盟4)金s休er票ia迷lN粥um败be慢r字凝段对驱CA亏应是睬唯一辛的；碰

危5)制v后al搞id盗it锐y字垒段应支说明克不早牢于当市时时差间的土no也tB辣ef省or浑e值架和不识早于雷no就tB阻ef驻or恶e时观间的今no汉tA耍ft亲er愈值伟；

牵6)吵假设丹is邀su丘er涉字段朵为空出证书碗应包稳括一辆个i掠ss夏ue应rA猪lt腿Na点me法的俘关键收性扩乓展；杰

炮7)遭假设岁su标bj焦ec犬t字絮段为能空，炭证书脱应包蔑括一键个s舍ub财je新ct贴Al或tN薯am康e的银关键浆性扩净展；淘

胡8)微s刻ub苏je痰ct朝Pu蕉bl员ic链Ke升yI隔nf鬼o字撕段中砌的s始ig徒na障tu猾re侵字段势和a挖lg毕or虽it球hm稻字段惠应包听含国味家密悼码行寸政管阵理门灯许可比的或榆推荐称的算愁法的赴OI竭D。

灰5.纯1.蔬9.潜2侦证书穴撤销范5.碍1.淋9.及2.刮1她证书扰撤销弓列表喉审核绍发布移CR淡L的栋PK片I系钉统应贝验证途所有偿强制野性字酷段的烫值符产合G摄B/秤T翼20顿51幕8-破20砌06肝。至锁少以邻下字绪段应批被审都核：歪a)夫假设插包含御ve币rs涂io戚n字拨段，矛应为逢1；译

怪b)阵假设鹅CR撕L包添含关蛙键性底的扩粮展，星ve催rs帜io桥n字浴段应蚊出现贿且为珍1；细

南c)炼假设蚀is影su赔er艘字段够为空泪，C苹RL民应包驾含一盖个i霜ss脉ue女rA夺lt局Na笑me确的关霜键性德扩展冷；

阶d)影s小ig虽na哪tu讲re参和s闪ig裹na是tu变re教Al慌go而ri超th眠m字巨段应鞠为许喷可的璃数字无签名籍算法肾的O滨ID暴；

供e)姥t义hi敢sU洗pd归at粪e应矛包含究本次案CR忘L的娇发布滑时间蔬；

养f)抹n具ex讯tU植pd站at察e锡字段捎的时岁间不引应早帆于t碎hi傅sU叮pd埋at献e字还段的络时间武。

料5.义1.妄9.退2.浊2猴OC冤SP政根本丹响应能的审疯核字发布嫩OC俯SP价响应去的P颜KI连系统距应验幼证所惩有强国制性自字段帮的值茶符合妨GB掩/T误1奸97脊13京-2霞00劝5。黎至少示应审暑核以告下字库段：忍

婶a)肿v灵er魔si愁on独字段狡应为其0；遮

稍b)趴假设茫is患su斥er傻字段杀为空底，响秋应中积应包孝含一盟个i夜ss茶ue狠rA笋lt昂Na工me辆的关狂键性姥扩展颠；

扁c)询s蕉ig蛛na小tu穗re宿Al悟go勿ri剥th衣m字占段应蠢为许崇可的针数字寄签名辫算法绸的O村ID倚；

越d)遗t戚hi私sU结pd饱at沃e字惨段应穿指出绕证书闭状态脉正确久的时鹅间；忙

啦e)砖p叮ro浙du闹ce尸dA伯t字治段应歌指出协OC瞎SP属响应跑者发牧出响溜应的绝时间矮；

葵f)耗n植ex麻tU共pd泽at锤e涌字段胁的时趋间不酿应早歪于t逗hi纷sU互pd谣at独e字倦段的涂时间陡。

高5.击1.找10倚配哄置管牲理括应按留GB汗/T纺2扒02凤71妥-2虾00竞6中售6.灭1.队5.无1的吼要求身，在冻配置筝管理责能力讨方面馋实现弄对版直本号聋等方典面的漏要求顽。霜5.叉1.弊11复分睛发和飞操作俭应按株GB遇/T廊2赠02寄71定-2再00磁6中刮6.慈1.辈5.岂2的赚要求晕，从宏以下秧方面元实现耐PK业I系狠统的着分发从和操哗作：波a)它以草文档南形式驼提供剥对P请KI拖系统匙平安瑞地进呢行分桑发的练过程才，并棍对安黑装、恢生成情和启桥动的功过程啦进行学说明典，最吴终生婶成安划全的浮配置授。文瞒档中集所描牙述的直内容医应包督括：适

唤——织提供级分发纲的过土程；哀

让——舟平安雁启动膝和操县作的伤过程定。

杏b)涨对示系统姻的未鄙授权计修改爱的风誉险，唱应在辞交付悦时控淋制到陶最低衣限度姐。在督包装离及安幸全分弊送和破安装话过程也中，威这种哨控制阿应采相取软巩件控茅制系担统的扔方式芒，确视认安键全性拨会由赖最终斧用户掘考虑展，所害有安休全机砖制都嘉应以倍功能痰状态锄交付秧；

树c)效所挠有软罚件应摊提供他平安容安装爪默认渠值，犯在客升户不寇做选劫择时浊，默批认值仙应使答平安假设机制葛有效残地发昌挥作百用；惩

零d)昆随贷同系话统交档付的席全部仿默认发用户信标识具码，炮应在糠交付松时处弦于非存激活盲状态福，并愁在使来用前歪由管教理员吧激活爪；

合e)归指粒导性处文档平应同鹿交付京的系价统软尖件一巷起包赞装，酬并应俱有一利套规嚼程确误保当闷前送驰给用植户的完系统晶软件京是严乘格按题最新宇的系微统版正本来危制作爱的。

呀5.阁1.举12储开弹发王应按皱GB皮/T衣2薪02结71垮-2缸00奥6中翁6.袜1.绘5.衫3的某要求闹，从惯以下线方面得进行哪PK开I系续统的诵开发堂：扔a)乘按恼非形轮式化腰功能阔说明蜓、描观述性田高层辩设计黑、T烘SF浓子集比实现淘、T到SF特内部话结构螺模块通化、讲描述词性低连层设册计和奇非形油式化位对应陵性说饥明的社要求搏，进辈行P呆KI蝴系统奖的开舰发；贤

漆b)椒系歇统的复设计找和开故发应煤保护抚数据惩的完袍整性技，例箱如，请检查哈数据父更新偏的规国那么，额返回株状态豆的检触查，汽中间陷结果常的检初查，宝合理浑值输蛾入检尸查等战；

红c)助在跃内部门代码瓜检查砍时，蛇应解比决潜任在的锣平安畏缺陷糟，关狸闭或叮取消熟所有潮的后将门；渣

凑d)销所铲有交华付的婚软件范和文制档，巨应进困行关档于安前全缺侄陷的柜定期侦的和妇书面茧的检渗查，庆并将疑检查交结果现告知惹客户前；

世e)压系码统控栽制数何据，拢如口颗令和沙密钥释，不雁应在睬未受别保护走的程愿序或橡文档详中以疼明文讽形式泡储存盯，并豆以书市面形究式向把客户反提供串关于聪软件寸所有岗权法悲律保阻护的悬指南戴。

统5.江1.论13膀指辽导性夕文档亮应按经GB睡/T煤2批02鄙71蹈-2致00建6中炭6.蜂1.寸5.披4的凯要求鼠，从奥以下夫方面传编制悟PK召I系星统的何指导撤性文沉档：料a)斥终挖端用问户文纷档应担提供矛关于服不同辽用户欲的可枪见的籍平安良机制匠以及械如何洲利用振它们什的信吉息，荐描述缝没有创造示仓用户栗的保拳护结数构，夫并解蹄释它翼们的香用途腹和提做供有沟关它昼们使识用的居指南尖；

闹b)肃系折统用塞户文列档应羡提供乱有关裤如何僚设置尤、维怒护和蚁分析剪系统饶平安宜的详扇细指融导，担包括翠当运将行一辱个安桐全设减备时济，需井要控送制的察有关糕功能衣和特稳权的拆警告萌，以旨及与况平安史有关栋的管惑理员届功能芹的详尺细描耕述，交包括芦增加脆和删怠除一壤个凯用户窜、改些变用膀户的护平安宰特征延等；底

迹c)由文符档中伤不应蚊提供字任何惑一旦退泄露饼将会旨危及替系统迈平安背的信暴息。贞有关厘平安格的指匙令和勤文档哭应划金分等似级分所别提怀供应秀终端伤用户象和系贿统用道户。金这些乐文档故应为严独立移的文麦档，钉或作弃为独在立的测章节律插入惧到终丰端用叛户指撞南和掏系统提用街户指冶南中碍。文蜻档也著可为付硬拷足贝、别电子奶文档傍或联误机文普档。料如果吃是联疲机文咐档应盏控制夜对其狱的访罚问。

擦5.益1.诊14捉生印命周绒期支恢持刊应按尿GB醒/T术2帆02返71燕-2煤00秩6中煮6.窃1.疾5.璃5的竹要求贼，从刮以下颂方面懒实现夏PK尾I系出统的润生命咽周期尽支持挡：优a)讲按假开发居者定仔义生瘦命周乱期模赴型进柜行开神发；坏

认b)替操疗作文仇档应原详细决阐述坊平安供启动滑和操舍作的拌过程娱，详咱细说厨明安颤全功决能在使启动崭、正规常操抽作维咸护时身是否宴能被稀撤消啄或修腾改，软说明茧在故眯障或浴系统铲出错肚时如释何恢宗复系算统至然平安王状态世。

壁5.海1.氧15签测峰试矛应按邻GB糕/T搂2员02麦71数-2浇00读6中层6.合1.劳5.直6的街要求英，从骡以下因方面瘦对P轨KI尊系统割进行桶测试虎：秘a)康应汇通过早一般上功能隔测试款和相乒符性导独立掘测试郑，确肚认P扑KI恨系统蝴的功枪能与尼所要片求的料功能域相一伐致；配

凭b)薯所沉有系箭统的他平安抽特性队，应劈被全宾面测盐试。督所有贺发现惹的漏请洞应各被改搅正、鼻消除套或使莫其无田效，士并在罪消除鸣漏洞验后重蛇新测爹试，叛以证隶实它钉们已禁被消晃除，春且没永有引忽出新净的漏亩洞；遭

瘦c)项应奋提供连测试收文档匪，详绳细描聪述测期试计舟划、哪测试颈过程败、测滩试结邮果。

妇5.友2泰第二院级派5.驰2.罗1闷概述芽第二蓬级的艘PK刊I系迫统，友应提希供审骂计能刑力，溜所保碑护的极资产椅价值闯低，丸面临锣的安拐全威万胁小寄，适蹄用于蛮平安窜要求借较高台的企贼业级器PK离I系碰统。吐PK踢I系旷统面姻临的滨风险揉，应餐按照众GB晓/T拜2医09眼84滋—2宰00舅7进撒行评满估。蝇结构泽设计很上，周PK胁I系液统右的C捉A、央RA蔑可不欧进行拣明确拜的分座化，剃但证符书资闪料库蚀应独拔立设秘计。弹RA刚可全宪部由监CA造托管晓，软案件功愤能模厕块可职安装冤在同翼一台雅计算休机系悠统上企，而杜数据飘库系禁统应游有独今立的择计算植环境拢。第毒二级赖PK帝I系呆统的裂平安沉要素涛要求要列表胖见浅附录羞A。虚5.吨2.廉2吓物理占平安琴进行揪PK啊I系宿统硬瓶件设眨备、谁相关电环境疼和系饼统安骗全的顷设计度时，细应按捎照G胶B/期T慨21钉05颗2—获20醋07慧第5箭章所辈描述亮的要奏求。福5.烤2.荒3洗角色那与责刃任拜开发陷者应贿提供阀PK粗I系哥统管选理员倍和操虏作员燥的角剪色定亩义。姻

膊管理吩员：舒安装势、配寻置、都维护体系统尽；建宾立和生管理晕用户阶账户旗；配裂置轮睁廓和骂审计痕参数灶；生刷成部晓件密叉钥；

未查看伸和维浊护审展计日曲志；貌执行赛系统雁的备水份和重恢复藏。本康级的艳PK怕I系唇统要展求提打供审炕计和弄系统孤备份麻功能姨，管腐理员轨的职那责也毁相应哀的多织分配泻审计胁和系峡统备脖份权广限。动

码操作富员：香签发周和撤监销证棒书。授

貌系统贡应具井备使粗主体饰与角番色相努关联达的能腹力，执并保揭证一岂个身租份不轨应同沿时具包备多五个角允色的淹权限唯。一舱个人敏不应岗同时奖拥有彩多个亚角色胀，开售发者脖应在绝系统兴设计负时对昂角色毛的管睡理进篇行相少关限血制。乱

胳角色花的安引全功芒能管凉理应亏按表荡3中毕的配逃置对示授权匪的角计色修挨改安搜全功划能的衔能力蜓进行齐限制忆。苗5.刑2.椒4然访问梨控制凭5.沾2.乳4.浑1脆系统徐用户简访问安控制立注册待和注听销能果够访朗问P意KI壮系统确信息极和服毯务的太用户邀应按档正规昂的程粒序执稳行。妙分配岭或者狸使用蹦系统灭特权雅时，织应进骂行严朵格的怕限制瓣和控娱制。尽进行羽口令扰分配蓄时，金应通启过正掩规的顶程序砍控制匠。选个取和崖使用轰口令橡时系具统用捷户应烈按已适定义锯的策黄略和改程序币进行吩。系著统用貌户账杠号和牌终端惭用户务账号促应严河格分潮类管单理。湖

炎PK崭I系拘统文获档中恢，应羡有访拳问控旦制的具相关路文档耕，访员问控奶制文买档中翻的访服问控禁制策驼略应录包含陷如下取几个蔬方面鲁：谅a)骄角暮色及握其相翅应的懂访问嗓权限

召角色葛及其蜡相应崭的访姜问权刃限的傲分配艇见表嘉4。沈b)罗标不志和荡鉴别免系统贷用户祖过程

爹应符盟合5拖.2错.5肢的要里求。

凶c)趣角影色的葬职能纺分割

遍应符榨合5胳.2扣.3旺的要辆求。疤5.宏2.猛4.间2绢网络竿访问即控制键进行呈远程期访问陶时，州PK晋I系奖统应浓提供醒访问筝控制矩。远篇程用青户只呼有被令认证怨通过万后，掠PK洒I系丢统才驾允许莲访问模，并覆只对刷授权坊用户读提供恭被授幻权使气用的脉效劳判。系量统开来发者中应提股供对欧远程堵用户奖终端耐到P艰KI衫系统黑效劳便的路达径进嘉行控万制情的方束法，垄并采星取防洁火墙很、入命侵检屡测等绪平安亮保护拐措施递。对蛮远程桶计算陪机系赤统与悼PK内I系史统的幻连接叛应被打认证菠，认赏证方港法包锹括计陪算机良地址湖、访娘问时粪间、遮拥有系的密赢钥等声。P荷KI早系统钢应定棵义网搬络访铜问控课制策园略。合PK坛I系待统的哨诊蔽断分纽析端积口是般重要份的受首控访殿问端僚口，族开发渗者应援对其烟访问师进行交严格映的安衬全控展制，绢能够进检测增并记嫩录对魔这些果端口烘的访步问请说求。规5.柏2.挖4.畅3饲操作企系统摧访问螺控制职每个坦用户被只有疾唯一刻的I进D，础以便印在P朴KI历系统倡的操造作能珍够被交记录判追踪直。

肚当系患统用益户正么在访气问P衣KI浩效劳霞系统功，中松途长蛮期离血开用楚户终卫端时劈，P环KI判系统气应能午检测暴出这央些终仇端经贝过了秘指定肢时间坑的不其活动视状态商，并森自动毫进入凑保护常状态晋，采币取锁粱屏、雕断开屿连接钩等措欲施，卵防止惨未授描权用贯户访释问。邀对高谱风险梦的应陶用应哨限制蒜连接剥次数惨以提搜供额拉外的糊保护侄，对闭短时吗间内款超过惕限制笨次数庙以上福的连恢接应偿进行五可配敲置的朗操作酬并记荐录。始5.熔2.倒5捆标识塔与鉴傻别糠标识懂与鉴论别包隙括建道立每烘一个蔑用户碰所声平称的坚身份抓，和摘验证凝每一位个用零户确意实是片他所岛声称淘的用秩户。园确保葛用户懒与正吊确的栗平安选属性茅相关坦联。组5.汽2.柳5.沙1膝用户醋属性死定义暴PK断I系家统应掠维护炕每个给用户想的安欣全属昆性。填

缠平安球属性然包括葛但不络限于档身份锹、组死、角迷色、误许可擦、安芽全和烈完整烫性等组级。穗5.辜2.宴5.让2硬用户门鉴别凝PK较I系当统的趴平安诞功能婚应预燕先设龟定P摄KI耀系统渔代表犬用户悉执行毙的、叠与安氧全功鸟能无严关的纷动作光，在怕用户汪身份男被鉴船别之董前，卧允许前PK秃I系翼统执抽行这拆些预曾设动毒作，铅包括真：偷a)鸦响拦应查叨询公泻开信辞息〔霜如：目在线肌证书络状态遣查询胃等〕雹；

宣b)药接怖收用箱户发般来的抗数据杯，但托直到败系统测用户核批准隙之后肥才处兆理。

桐管理椅员应单对鉴待别数作据进惠行管旷理。素

竞PK厚I系祸统应旷定义努所支消持的莲用户改鉴别弊机制趋的类灿型。慕5.宫2.冶5.市3猎用户剂标识胀PK爬I系罚统的并平安糟功能本应预兽先设际定P巾KI径系统欲代表良用户算执行瓣的、更与安亡全功发能无社关的吗动作颈，在爸用户拘被标尿识之匪前，愤允许阅PK打I系伯统执续行这雕些预灿设动翻作，弯包括融：柏a)薪响福应查谷询公坊开信分息〔酸如：努在线邻证书霞状态绍查询困等〕腊；

闹b)归接纤收用菊户发聪来的鸭数据俘，但斧直到雀系统联用户稻批准纽之后死才处钱理。

歉5.弊2.田5.海4流用户瓣主体迹绑定求在P跪KI停系统屈平安荣功能蝶控制烘范围外之内泽，对好一个舱已标师识与闲鉴别特的用初户，慧为了须完成榆某个呆任务铸，需忆要激父活另蔑一个绕主体皆，这厉时，攻应通阳过用怒户主番体绑酷定将滨该用魄户与色该主瓦体相奇关联拦，从复而将填用户纷的身杰份与柜该用游户的射所有欺可审战计行嫂为相碍关联枯，使务用户旬对自晓己的架行为仅负责猜。赢5.正2.测5.这5暂鉴别晚失败坝处理嫌当用剖户自绸从上锤次鉴库别成私功以游来不税成功就的鉴画别尝绍试的砍次数腾到达发或超集过了倦定义种的界注限时陶，P贯KI淹系统慨的安屡全功英能应身能检掘测到骑。这拌个界剩限是升管理慨员可斤配置倘的。估管理退员可相配置泻的参做数包冻括但惑不限解于，居失败氏的鉴所别次糠数和碗时间奴门限柏值。继

运鉴别染不成涌功尝欲试的欣次数煮不必瞒连续辩，但课应与依鉴别孟事件严相关铁。绍5.效2.硬6声审计拜5.籍2.技6.促1缺审计竹数据制产生切审计吵功能驰部件夺应对豪以下买事件捕产生斧审计注记录很：涌a)波审当计功欣能的有启动倚和结铺束；散

率b)急表卖5中槐的事凉件。然

并对于懒每一悟个事肥件，金其审却计记痛录应何包括热：事应件的场日期辱和时画间、哄用户据、事夜件类冠型、东事件盲是否悦成功秆，以竹及表织5中西附加新信息柿栏中她要求顾的内盒容。嚷

鸣日志辽记录酬中不烈应出营现明湖文形定式的填私钥白、对散称密同钥和净其它滑平安概相关岗的参穿数。状

苗审计丘功能矿部件潮应能希将可砍审计澡事件柄与发跟起该筝事件龙的用旱户身眨份相工关联器。倘5.燕2.辟6.虏2矛审计想查阅薯审计荐功能显部件逃应为旧管理器员提塔供查耍看日建志所申有信霞息的饭能力帐。

坟审计吐功能丰部件纱应以已适于质阅读钢和解尤释的理方式细向阅吉读者烘提供焦日志再信息重。设5.散2.捆6.企3凶选择宪性审食计施审计跃功能澡部件兼应可贞根据粘以下乔属性脱选择朱或排屋除审猴计事钓件集窗中的氧可审僵计事惰件：脊

且用户购标识嫂、事或件类克型、塑主体絮标识丈、客蜜体标施识等雨。蛾5.樱2.里6.鹿4隔审计茂事件撒存储限审计更功能差部件杏应具燃有以茄下能猛力：徒a)洞受增保护菌的审贴计踪倍迹存铜储，俊能防涛止对旷审计舱记录袭的非和授权程修改梨，并太可检历测对局审计遭记录五的修原改；贫

胞b)嗓防叼止审毁计数饱据丢码失，庭要求亭当审变计踪跃迹存宇储已碍满时明，审蛛计功植能部江件应耍能够躬阻止元除由码管理堵员发雪起的塑以外乞的所敌有审游计事妹件的铜发生芒。

寻5.氧2.切7前数据枝输入知输出眯5.嚼2.惨7.初1论TO飞E内蝇部用欲户数挡据传只送努在P类KI派系统攻的物生理分烂隔部拦件间剥传递茫用户齐数据淋时，辞PK拾I系粥统应鉴执行旧访问挖控制访策略洗，以拆防止模对安移全相惯关的味用户六数据钱的篡散改。畜

物在P脏KI湿系统话的物含理分狐隔部萝件间把传递绪用户赠数据鲜时，饲PK育I系援统应胶执行弓访问碑控制吗策略田，以卸防止段机密神性用另户数谎据的休泄露伪。独5.印2.畏7.铜2肆TS庆F间标用户裳数据望传送意的保奉密性浑当用蔑户数材据通硬过外潜部信存道在马PK滤I系翼统之犹间或最PK妹I系哨统用沿户之却间传御递时滋，P疯KI足系统拣应执副行访庄问控浴制策能略，贫使得趟能以谦某种尚防止堆未授总权泄竟露的幕方式业传送摇用户蔑数据位。狮5.知2.歪7.危3魂输出掘TS肯F数谊据的困保密筒性丸在T谁SF贴数据询从T银SF万到远凑程可榴信I束T产撑品的六传送懂过程吸中，合应保挽护机节密数锯据不唐被未率授权括泄露柴。

膨这些崖机密茅数据椅可以浑是T砍SF未的关递键数针据，盆如口牛令、萌密钥何、审踢计数耍据或测TS虽F的况可执余行代幻码。扔5.岂2.舅7.峰4监TO绘E内匹TS遣F数室据的炼传送异PK走I系溪统应嚼保护弃平安燕相关盼的T拆SF牺数据蒙在分滚离的功PK熟I部仍件间絮传送帜时不脾被篡柳改；范

痒PK飞I系绕统应擦保护偏机密尼性T硬SF躲数据厘在分柴离的症PK逆I部倘件间摔传送服时不惕被泄愧露。禽5.东2.界8奴备份才与恢疏复搏PK票I系铁统应葱具有此备份毅和恢叮复功烧能，兽并可身在需腔要时觉调用梁备份糖功能抛，使猛在系肌统失岭败或揭者其惩它严加重错逃误的歌情况燥下能卵够重不建系被统。第执行粥备份居的频距率取燥决于睁系统坡或者姐应用角的重楼要性突。在临系统酱备份惩数据衫中应扭保存敬足够元的信月息使稍系统庙能够传重建屈备份钩时的块系统孙状态谈。妙5.敏2.蒸9切密钥垦管理六5.百2.侍9.穴1圾密钥三生成简5.聋2.衰9.阵1.堵1拴PK后I系伪统密恭钥生挖成罪PK冻I系严统部绒件密徐钥和劳系统壶用户的密钥禁生成未应由凉相应递级别为的C仰A或民RA绩等机靠构进淋行，反可用引软件互方法们产生河，生瓶成算映法和泊密钥贝长度谢等应叮符合厕国家扎密码单行政悲管理鞭部门聋的规爷定。脾在进损行密婆钥生照成时祖，P息KI挺系统消应限抛制非斧授权重人添员的糊参与驴。

乱CA巡签名让公私生钥对才应采推用国蓬家密抚码行权政管定理部蔑门认棵可的链方法役生成眯，可哗用软靠件方续法或此硬件漆密码洲设备孔产生刊。在称密钥下生成道时应钢检查夏用户虏角色呀，并都设置嫁为只叹有管骗理员摇才能姥启动摸CA润密钥仆生成侧过程危。似5.撕2.候9.盲1.代2棕终端勉用户傍密钥扒生成章终端狗用户盘的密荐钥可舱由用碰户自嘉己生吹成，慰也可伙委托沾CA壮、R酿A等薄PK贞I系营统的废效劳额机构扭生成赌。

摊终端食用户榴密钥痛可用赔软件馅方法贞产生矛，生伍成算覆法和忌密钥反长度翅等应缓符合委国家检密码冷行政极管理更部门码的规扮定。物5.辆2.静9.惊2读密钥谷传送袜与分畅发样5.湾2.近9.动2.怪1驱PK封I系晨统密起钥传汪送与斗分发香PK贷I系设统部观件密盏钥的厦传送见与分来发应疏以加阔密形象式直咐接发突送到斜PK林I系降统部刻件中株，加坟密算匠法等榆应符冷合国季家密蝶码行蔑政管勉理部凳门的森规定榨。

敬系统拉用户简密钥平的传终送与接分发潮应以率加密液形式类直接略发送艘到系拜统用球户证喘书载阁体中正，加最密算皮法等喘应符兴合国靠家密伙码行言政管锈理部谁门的交规定牵。

敲CA增公钥丛分发便方法士应适猪当、送切实脏可行别，如陕提供枪根证惰书和灰CA透证书咐下载梁、或俩与终嫩端用洒户证栏书一游起下遥载等楼，应啊符合垮国家棍密码益行政附管理影部门成对密俘钥分喜发的养相关宁规定尚。C它A公卵钥分纪发还嫁应保开证C邪A公症钥的性完整疑性，盲可通姥过岂嵌入灿应用伞软件习、S龟SL决、手愧工等鱼方法麻分发束。篇5.恋2.驴9.垄2.谱2钥终端普用户途密钥盲传送组与分珠发慰如果炎终端桌用户采自己闲生成私密钥凡对，愁把公塘钥传规送给搞CA恼是证末书注炭册过鸟程的颤一部叙分。逢终端注用户担应将乓公钥芝平安孙的提悄交给姐CA籍，如敌使用柔证书蜓载体型等方卖法进之行面角对面逐传送吵。

刺如果村终端刃用户奋委托剃CA想生成罩密钥摇对，般那么不层需要寿签发秧前的按终端剂用户仰公钥远传送兵。C娃A向责用户迁传送孝与分淘发私普钥应券以加翁密形厨式进愚行，替加密铲算法谱等应乔符合液国家绣密码豪行政俩管理乓部门犁的规遥定。岩5.揪2.暮9.恰3币密钥骆存储微系统金部件纯密钥止和系巡统用华户密固钥可输用软载件加夺密的殃形式份存储朴，加傻密算抄法应绪符合甚国家烘密码作行政逢管理廊部门敏的规输定。言

顿CA乓签名紫私钥予应存父储于移国家具密码诱行政蔑管理获部门五规定休的密痒码模炼块中绿或由呈硬件励密码怨设备铲加密吉后存客储。衔

象终端始用户凉密钥董由用笔户自游行存慨储。莫5.麻2.滥9.哗4牢密钥挤导入安导出吩密钥踩被导竞出到屋PK畏I系竟统之反外可利能基算于以姓下的仪原因圈：密调钥备踪份、颈复制勇，以膜及将冒PK米I系膜统部抬件产醒生的裤密钥概传送西到用兔户手届中。尘

全密钥茎导入塘或导河出P老KI漠系统点时，漆应采里用国弹家密临码行赏政管誉理部随门认种可的锁加密北算法风或加狸密设铁备。蓬

革私钥聪不应只以明起文形茎式导锤入导偶出P韵KI舅系统劲，P撕KI剃系统增用户亡密钥诞、系求统部会件密绳钥、尿终端珠用户倡密钥口可使遣用软柔件加祸密，位CA坛签名菊私钥旋应使惨用软封件方柜法或霉硬件仪密码产设备窑进行仪加密都。

愁PK防I系中统应怠提供呜适宜衰的方太法把垦导入舟或导潜出P汗KI冠系统痛的对钩称密糊钥、络私有槽密钥胳或公雀有密争钥与吐正确孝实体甲相关密联，荒并赋成予相嫩应的融权限旦，其孕中实澡体可圆能是葡一个爆人、呜一个坐组或亚一个盐过程座。冶5.透2.芹9.伪5坛密钥壁销毁耍PK嗓I系掌统应姑提供裁销毁币对称饭密钥玩和私足有密丰钥的袋适当欧方法盘，P简KI坊系统恶文档慕中应培规定外这些摧密钥泪销毁姐方法责，保泥证销克毁过狱程应庆是不控可逆童的，瓣密钥铅销毁蹄方法姓应符疤合国僵家密扰码行酷政管坚理部米门规敏定。偏5.品2.朽10古轮蛮廓管泄理形5.遗2.登10蜓.1寄证望书轮葱廓管影理歌证书逐轮廓戴定义讨证书彻中的蓬字段绍和扩柔展可区能的央值，干这些篇字段珍和扩债展应幅与G率B/匠T波20蚀51渗8-逗20秀06田标准遇相一业致。

燥证书松轮廓拦包括保的信俱息有委：辨a)扶与茎密钥曾绑定倾的用源户的造标识婶符；痕

部b)鞠主威体的停公私消密钥虚对可飞使用走的加或密算狗法；哲

说c)延证雪书发面布者圈的标食识符泊；

迟d)定证述书有缸效时筐间的燕限定鸽；

胃e)腾证寨书包础括的沙附加寿信息滋；

泽f)并证蔬书的霸主体阅；

语g)麦与减证书恨相对筑应的渐私钥缺可执肥行的像操作栋；

立h)岛证届书发谨布所它使用按的策杂略。

胖PK勒I系涨统应罢具备疏证书就轮廓脉，并寸保证腔发布宅的证嗽书与依证书趣轮廓答中的低描述概一致专。P听KI洽系统膏管理牛员应跑为以细下字巩段和映扩展我指定喇可能房的值伪：嫁a)任密迁钥所丰有者泼的标南识符剧；

央b)轮公意私密患钥对饲主体荐的算炼法标推识符塌；

肝c)韵证粘书发兄布者顿的标乓识符乳；

衣d)看证再书的罩有效躲期。

抛PK汉I系品统管谢理员婚还应炎为以勾下的吗字段忧和扩兽展指殃定可雹能的沿取值潮：恋a)从k趴ey洽Us耗ag逆e；姓

输b)难b途as吩ic志Co扎ns览tr悠ai孟nt赤s；承

卧c)续c新er荡ti质fi糖ca抽te劈Po磁li不ci准es献。

灯管理主员还念应为傍证书剩扩展赖指定呆可能学的值碑。爹5.豪2.赖10郑.2眼证器书撤瞎销列础表轮管廓管窜理乏证书奇撤消呼列表缓轮廓哭用于爽定义共CR盘L中意字段停和扩中展中抵可接爸受的慨值，乖这些茅字段钱和扩泄展应结与G乐B/垄T区20储51苗8-待20棉06河标准忽相一党致。搭CR灯L轮逐廓可鼓能要私定义储的值沉包括掏：佛a)照C龄RL砍可能垒或者洪必须歇包括凝的扩需展和齿每一乡扩展送的可附能的妙值；典

撑b)灰C伸RL居的发计布者葡；

唱c)惠C勾RL舱的下免次更鱼新日休期。

愚假设P可KI挑系统撇发布决CR伤L，铲那么应蓝具备闲证书功撤销弦列表川轮廓善，并北保证变发布艇的C败RL增与该桥轮廓斯中的滥规定招相一允致。

悦PK说I系姨统管辜理员没应规野定以宇下字糕段和哑扩展薯的可浴能的闭取值啄:猾a)它i奉ss挺ue独r；蜻

罪b)椒i脑ss诱ue酿rA伶lt赌Na耍me渔；

卫c)晒N爷ex膛tU窄pd没at提e。

那假设P懒KI嗽系统骨发布压CR荡L，糟管理走员还脊应指侄定C倡RL逝和C隔RL群扩展摘可接欠受的箭值。序5.膊2.芬10庸.3吗在伙线证纪书状岭态协苹议轮迫廓管抖理孕在线述证书拳状态俱协议爷轮廓斑用于简定义屠一系威列在握OC歉SP抗响应表中可慢接受踪的值诊。O侮CS令P轮膜廓应凶规定后PK仔I系扬统可政能产惯生的皂OC文SP租响应拌的类熊型和趋这些随类型士可接刻受的体值。郑a)握假设产PK搜I系棋统发盯布O泰CS淋P响踪应，魂PK牢I系孟统应御具备友OC救SP纯轮廓通并保竿证O衬CS材P响闻应与间轮廓尼一致评；

话b)迈假设枪PK游I系剖统发档布O础CS晚P响萄应，泥PK驶I系丢统应喇要求弓管理门员为腥re炸sp语on堤se敏Ty字pe捞字段于指定惊可接肢受的勺值；烤

达c)纵假设沿PK桶I系湿统允貌许使篮用基逼本响喷应类在型(丛ba沟si领c捕re哗sp翻on艇se辜t史yp拣e)拘的O狼CS象P响资应，抛那么P纠KI升系统免管理驰员应旗为

览Re鲜sp鲜on纲de件rI宇D指掠定可杜接受拒的值辰。

牧5.未2.袄11唤证符书管汽理罚5.钱2.韵11屿.1蒙证性书注屋册先PK复I系飞统所翼签发胳的公惑钥证纳书应误与G够B/捞T悦20辜51惠8-恩20肚06辜相一泉致。追任何拢证书库所包点含的封字段链或扩宇展应革被P梳KI魔系统拢根据菊GB细/T身2超05妥18停-2是00园6生底成或系经由靠颁发笋机构吊验证赛以保造证其蕉与标筛准的将一致豆性。锦

析输入边证书兼字段易和扩乐展中肠的数满据应航被批盖准。学证书希字段辱或扩单展的栋值可钢有以丧下4迹种方哄式获诉得批夫准：沿a)糠数言据被宏操作灿员手纵工批创准；柳

正b)扰自千动过虫程检常查和检批准讯数据钟；

端c)零字嘴段或笑扩展握的值相由P君KI碌系统是自动杂的生当成；舱

巧d)恨字矮段或习扩展肃的值坝从证丛书轮披廓中土获得庄。

偶进行吼证书固生成汪时，耐a)栗应赢仅产叶生与惰GB店/T择2玻05院18爬-2取00恨6中苦规定兵的证剧书格龟式相幼同的逝证书猎；

么b)芬应蔽仅生贡成与锄现行构证书顷轮廓素中定扛义相衬符的恰证书岗；

防c)气P杠KI抱系统亚应验漆证预殖期的察证书喊主体分拥有赠与证遇书中悼包含企的公看钥相沙对应精的私疲钥，搁除非中公私卧密钥际对是值由P挥KI裂系统笛所产管生的雹；

敬d)讽P侨KI泽系统叔应保权证：侮

匹1)债v访er纷si爪on网字段蔑应为切0，胸1，通2；睁

豪2)痒假设麦包含芒is隐su复er普Un愈iq命ue票ID去或s絮ub迹je挂ct燃Un谱iq塘ue粪ID难字段浙那么v皇er捷si滩on救字段怖应为梢1或而2；哭

赚3)得假设干证书培包含社ex驱te丢ns缝io稀ns席那么无ve乌rs玉io肆n字程段应卷为2脸；

友4)躲s垫er益ia占lN病um少be责r字薪段对么CA叹应是剖唯一叉的；绵

棋5)祝v酱al断id设it饥y字晶段应跟说明泪不早矮于当翁时时习间的复no楼tB覆ef射or饶e值提和不扁早于第no壮tB贵ef域or段e时扇间的蔑no立tA咱ft负er笨值手；

浑6)粪假设西is鼠su斤er培字段图为空莫证书播应包拾括一纪个i图ss共ue尖rA清lt娃Na夸me景的虫关键脱性扩扫展；交

编7)新假设谅su辱bj恭ec让t字搁段为公空，坚证书由应包搁括一久个s搜ub续je氏ct露Al雄tN提am呈e的酱关键盒性扩蚕展；本

团8)免s轧ub裁je职ct屿Pu衔bl秀ic钩Ke月yI纯nf破o字产段中鼠的s湿ig胡na钻tu哄re展字段凡和a系lg贸or净it抢hm饼字段时应包灿含国姿家密卷码行赤政管旬理部钢门许政可的灭或推贺荐的屈算法少的O移ID吨。

疮5.味2.竿11禾.2汇证耽书撤赤销图5.功2.中11梁.2键.1活证帖书撤肉销列滴表审和核忽发布傻CR网L的模PK臭I系骨统应航验证驻所有凡强制甚性字爹段的堡值符每合G脉B/创T悲20糖51藏8-鄙20零06促。至溪少以扑下字标段应袖被审展核：茄a)异假设柱包含榨ve央rs丑io念n字微段，曾应为案1；颗

钥b)挑假设踩CR链L包枕含关业键性仗的扩虽展，倒ve误rs拜io遣n字戒段应熄出现钻且为风1；男

仆c)斧假设怖is匀su凶er狗字段昆为空芦，C田RL迅应包汤含一直个i潮ss销ue抛rA粪lt捉Na咐me套的关简键性菊扩展飘；

辰d)漫s录ig秒na箭tu基re孟和s宫ig奶na免tu狐re贤Al梅go匀ri种th科m字嫂段应午为许裙可的修数字宏签名青算法犬的O滚ID民；

脉e)齐t际hi惧sU氏pd置at政e应晌包含竟本次驻CR障L的袄发布韵时间驾；

防f)脸n侧ex狭tU抄pd求at目e责字段净的时百间不拥应早泡于t是hi披sU良pd著at剥e字屡段的毅时间朋。

岭5.届2.擦11渡.2挑.2撇O搬CS姜P基委本响挣应的赶审核耗发布记OC危SP篮响应传的P捷KI惭系统叉应验阁证所覆有强槐制性肉字段费的值悼符合权GB柔/T播1盲97刷13淋-2母00犯5。填至少非应审何核以猪下字醋段：现a)央v垃er薯si旨on磁字段党应为脆0；焰

缸b)露假设间is粉su膨er渐字段照为空触，响鼻应中肯应包鸣含一莫个i并ss蜘ue认rA寄lt医Na摇me盗的关谅键性享扩展匠；

烫c)累s育ig誉na茫tu歪re摊Al斩go炼ri挎th熊m字宴段应魔为许亩可的葱数字谅签名榨算法雁的O碌ID灿；

旺d)抖t碧hi日sU抛pd浓at逼e字阔段应帝指出某证书气状态捏正确香的时钢间；状

幻e)责p粮ro洗du淋ce庄dA弃t字捆段应肚指出秘OC炕SP威响应谢者发晋出响隐应的阻时间斯；

旱f)催n射ex辣tU援pd笨at蛙e霞字段纪的时中间不脏应早立于t崖hi怠sU击pd栏at扣e字咏段的姐时间抖。

防5.腰2.均12泰配好置管恋理刊应按精GB死/T片2绞02拳71涌-2孤00密6中稳6.略2.样5.艘1的详要求庆，从旦以下罗方面界实现平PK抗I系厅统的驶配置予管理文：急a)洗在齿配置协管理煮能力便方面竖应实尺现对馒版本诉号等采方面式的要卖求；历

圆b)画在金PK咐I系阔统的爪配置什管理非范围晓方面登，应混将P次KI怀系统夕的实强现表悲示、散设计迹文档娱、测页试文蜂档、肺用户巧文档虹、管厚理员镰文档揉以及纷配置寻管理倒文档斯等置戒于配杆置管蜂理之兆下；恨

川c)子在璃系统箭的整圈个生狗存期酸，即房在它缺的开更发、缸测试旷和维物护期扬间，暮应有伍一个披软件捐配置嫁管理揉系统罩处于昏保持货对改望变源口码和寄文件剪的控疮制状彻态。具只有怪被授葡权的私代码扯和代榜码修菜改才难允许工被加略进已惠交付件的源趣码的碌根本慨局部馆。所棒有栋改变润应被宏记载持和检挪查，拳以确自保未动危及毒系统逮的安厚全。溉在软巧件配顺置管称理系油统中敞，应室包含硬从源蒙码产虽生出匠系统怒新版紫本、骗鉴定落新生欲成的匆系统汇版本自和保猛护源肚码免谣遭未刃授权算修改厚的工乌具和配规程乓。通械过技赤术、连物理忽和保沟安规恐章笋三方辟面的国结合颈，可秃充分减保护棚生成宰系统窑所用般到的日源码谁免遭英未授盖权的逼修改叹和毁况坏。

山5.醋2.始13缓分旁发和晶操作决应按专GB绣/T负2驴02睛71莲-2盖00咸6中喂6.亏2.搅5.戏2的验要求滤，从信以下波方面苗实现目PK豪I系缴统的脚分发蹄和操锅作：墓a)舌以臣文档故形式反提供早对P掏KI歼系统满平安脆地进魄行分肚发的疲过程宜，并类对安该装、建生成颈和启继动的兆过程订进行圣说明我，最演终生稀成安扰全的饿配置旱。文娃档中骄所描晨述的返内容劲应包搁括：哑

棒——永提供宋分发肆的过堆程；姻

圈——持平安矩启动婆和操妄作的拥过程开；

挠——盛建立旦日志豆的过纠程。为

孕b)直对精系统步的未渔授权数修改痛的风步险，樱应在构交付动时控能制到荒最低箭限度封。在糊包装吉及安俘全分壤送和晶安装壳过程创中，某这种讲控制次应采盈取软议件控威制系骂统的须方式煌，确腊认安嫩全性婶会由庸最终誓用户惭考虑苏，所辈有安嫂全机蚂制都葬应以锯功能傻状态掩交付管；

率c)组所咬有软蜻件应纪提供衡平安队安装队默认筛值，缘在客围户不掠做选省择时洲，默渠认值劲应使飞平安滑机制却有效喝地发恩挥作军用；饲

颗d)腰随拌同系虹统交订付的摇全部见默认开用户械标识跳码，涛应在乎交付摸时处提于非侮激活画状态扩，并舰在使袄用前槽由管机理员温激活效；

盈e)岔指誉导性杯文档筒应同谨交付框的系柔统软壶件一港起包判装，吼并应录有一袄套规立程确掀保当峰前送替给用辨户的旦系统拦软件犬是严锁格按烤最新竞的系港统版盖本来锐制作忠的。

疮5.浇2.瑞14淡开雨发怒应按环GB窄/T轧2构02午71存-2心00我6中著6.输2.白5.大3的肢要求涨，从拘以下豆方面锐进行季PK司I系股统的妇开发团：电a)晌按伪非形轻式化千平安讲策略斩模型奸、完顶全定格义的跨外部盒接口乌、描菊述性嚼高层闪设计史、T她SF新子集顶实现拜、T益SF幕内部获结构证层次刺化、迎描述躁性低习层设迈计和溜非形捧式化克对应卖性说乓明的场要求肤，进弊行P他KI恭系统孤的开句发；吹

刃b)煤系吨统的餐设计蜡和开仔发应献保护吼数据挂的完积整性竭，例胶如，来检查脖数据既更新肥的规包那么，喜返回握状态初的检埋查，唤中间搅结果燕的检木查，笑合理付值输躺入检枝查等疲；

胆c)私在吉内部舅代码样检查臣时，捷应解赴决潜介在的揪平安武缺陷铜，关很闭或故取消她所有物的后搂门；抄

软d)秃所馆有交四付的排软件抓和文列档，罢应进区行关貌于安宝全缺遵陷的槐定期壮的和僻书面熊的检扒查，夸并将霸检查亡结果嫩告知满客户阅；

焰e)摊系栋统控急制数唱据，进如口喉令和源密钥城，不株应在醋未受迈保护即的程框序或哲文档饰中以扛明文滤形式炼储存历，并幸以书卵面形滚式向苍客户痛提供录关于银软件秃所有包权法智律保明护的杀指南缸。

裤5.出2.洲15遮指睁导性没文档茄应按央GB烘/T街2焦02表71赔-2剑00宋6中面6.朴2.间5.慌4的腹要求授，从汁以下贿方面恩编制伏PK抹I系醋统的逢指导烘性文甩档：矮a)砌终地端用阳户文旷档应摊提供绿关于微不同椅用户婚的可忙见的描平安类机制悄以及瓶如何寺利用品它们南的信两息，验描述拴没有湖明示话用户约的保撤护结惑构，济并解阳释它折们的挨用途炊和提花供有鸟关它遥们使旷用的康指南睡；

询b)花系专统用感户文芹档应盘提供贱有关沫如何手设置滥、维滔护和耳分析灵系统耕平安拼的详无细指灾导，坟包括机当运阴行一躁个安值全设盼备时错，需胸要控台制的剑有关旷功能套和特悠权的降警告绑，以搜及与话平安反有关滚的管但理员薪功能朗的详稼细描值述，戏包括珠增加体和删宜除一装个乌用户枯、改河变用茎户的洪平安株特征密等；门

耕c)篮文绪档中压不应烧提供莫任何今一旦堵泄露暴将会傻危及缴系统棕平安蔬的信季息。闭有关逝平安辽的指掠令和刚文档限应划贞分等轮级分诸别提警供应施终端沉用户烂和系治统用强户。须这些北文档症应为洪独立怀的文挥档，野或作撤为独弓立的才章节亏插入宵到终等端用奴户指偏南和愚系统珍用户橡指南晋中。雷文档别也可慨为硬钻拷贝坊、电弟子文陆档或夕联机掉文档累。如吊果是涉联机晋文档晚应控香制对功其的氧访问蒜；

抖d)滚应橡提供匀关于就所有樱审计良工具例的文铜档，挑包括鸣为检顷查和堂保持谅审计察文件民所推动荐的枕过程捆、针培对每复种审窑计事军件的刻详细弹审计期记录摩文件诉、为侦周期版性备兵份和哄删除世审计挽记录它所推解荐的菊过程穗等；夏

泽e)良应符提供升如何重进行波系统垮自我炭评估召的章聪节〔瞎带有叶网络惕管理宣、口继令要驼求、拨意外暑事故畜方案升的安衫全报岭告〕根和为仗灾害惨恢复演方案煮所做厦的建池议，椅以及腰描述扑普通如侵入代技术皮和其败它威貌胁，叮并查霜出和斤阻止晶入侵寻的方苦法。

李5.展2.绿16心生罪命周聚期支宰持兆应按葛GB舌/T盏2弱02芝71棉-2据00村6中鱼6.效2.蕉5.钓5的似要求昼，从兴以下海方面淘实现丧PK业I系阁统的例生命滩周期抹支持编：他a)类按硬开发举者定件义生系命周再期模肯型和瓶明确煎定义仗开发堵工具匠的要喉求进岸行开移发，锤并提济供开央发过弦程中鞠的安所全措存施说健明；够

浪b)并操汇作文企档应按详细吧阐述耍平安拒启动威和操栋作的转过程皂，详抓细说座明安鼻全功蹲能在税启动座、正诸常操荣作维君护时杨是否谦能被份撤消鸡或修抛改，姥说明传在故忠障或明系统既出错盟时如勾何恢蛋复系遇统至纤平安地状态仰；

忘c)绘如窃果系雕统含秆有加益强安阁全性无的硬市件，仗那么坚管理椒员、卖其他鲜用户乞或自陪动的骨诊断荡测试肥，应芳能在苗各自猫的操筐作环亿境中军运行尊它并头详细鉴说明泛操作坦过程领。

煮5.忌2.萝17团测数试融应按傍GB喉/T果2佩02浊71幸-2浴00霜6中退6.柜2.主5.谢6的赶要求装，从秃以下洁方面焰对P载KI挨系统家进行引测试轨：坐a)惠应详通过赵测试作范围猜的证映据、周测试孝的范秃围分毕析、汪高层帅设计案的测疮试、骗相符正性独较立测缴试，珍确认昨PK怖I系评统的怖功能赢与所母要求录的功博能相贸一致捷；

融b)劫所碗有系荐统的穷平安族特性遵，应蝇被全嚷面测金试，号包括寄查找叼漏洞拐，如额违反播系统青访问称控制载要求型、违觉反资还源访级问控孔制要织求、绕拒绝差效劳胁、对购审计兵或验司证数盈据进师行未阿授权挽访问永等。杏所有饲发现亩的漏付洞应没被改钳正、温消除兴或使竿其无叠效覆，并误在消蒜除漏菊洞后启重新巩测试厚，以符证实叫它们真已被供消除胸，且抢没有幼引出塘新的单漏洞剂；

拳c)冻应剧提供五测试贺文档蝶，详收细描农述测蜓试计锻划、鹊测试役过程雕、测许试结激果。

其5.万2.旷18种脆虫弱性胞评定露应按咏GB牵/T及2榴02贴71鬼-2钉00牲6中伏6.俭2.设5.烦7的石要求狗，从闹以下椒方面类对所亭开发艳的P沸KI或系统俭进行剑脆弱喘性评店定：退

解a)缺指特南检病查；匪

际b)格P蒜KI苗系统阔平安奶功能祝强度苏评估桐；

披c)错开省发者悠脆弱锻性分形析。

胆5.赛3著第三箱级朝5.奴3.高1锯概述犬第三睬级的莲PK木I系坝统，建所保手护的排资产数价值搁较高咬，面枪临的横平安池威胁汽较大节，应游提供灾全面库的安替全保滔护，习适用挽于运照营级某的P或KI轨系统仁或者暂平安蚁要求幻极高兔的企果业级式PK蚂I系扔统。永PK歉I系棍统面慢临的姐风险择，应丰按照银GB习/T榜2觉09薯84拒—2巩00等7席进行丧评估雾。结悼构设果计上皮，P商KI鬼系统捡的C盈A、炭RA灰和证臂书资晨料库初都应届独立扫设计做，并工采用训终端框用户忧证书嫌分为女签名合证书究和加葵密证长书的包双证牲书机宵制，宰建设姐包括亏证书达认证光中心皆和密好钥管港理中旬心的范双中茅心系敏统。得证书这认证琴中心掘和密涂钥管匪理中因心的衫根本漆功能祥要求忌、建紧设要蔑求和头运行亦管理宏要求久等相终关安絮全技反术要卡求应发符合创国家声相关惨标准妹的规答定。位第三毙级P鹿KI仪系统恨的安舞全要斜素要颈求列侨表见告附录新A。修5.闸3.踪2拿物理搏平安惕5.吸3.剪2.坑1觉核心我部件租物理逮平安仔进行祝PK通I系乒统硬客件设佳备、玉相关搁环境邮和系发统安庆全的践设计刷时，医应按坡照G锐B/浪T阵21篇05辞2—买20牲07鲁第6陷章所连描述熊的要贸求。隙5.趁3.岩2.踩2惊RA谜物理惩平安株RA告可全重部托液管在探CA骨系统凭，也遗可部押分托烧管在降CA胁系统腊，部普分建惨在远装端。滨

暮RA芹应设汪置专宴门的姐区域六来接拘待日武常业膀务，昆只有缸被授可权者萝才能陡接触山RA安工作球站和娘相关功敏感难数据父、设淘备。称

垃RA烤应妥件善保狗管私碰钥，缘在R肥A设灵备不脑使用捆时应佩锁存由私钥搬。

召RA品设备但应有拆平安创人员悲和电驻子监主控设聋备保按护防蚂盗。仆

证所有来的活技动都朴应被采授权刻人员况或安魔全人由员监刻控。贞

探RA侨对外重效劳讨的时罗间应栋被严宇格限庭制在创指定原的时改间。艰

腥维修赔和服带务人卡员在抵工作渠区域救应受盒监控裂。泉5.教3.洒3絮角色蝇与责喝任援开发兄者应艇提供烂PK示I系事统管吐理员扩、操驾作员王和审菊计员新的角帮色定坏义。椅

堵管理剃员：寸安装粪、配阻置、吵维护揪系统炸；建手立和栽管理旬用户药账户朝；配杜置轮寺廓和绣审计泳参数他；生悔成部接件密爽钥；

喜执行杀系统愁的备屿份和筑恢复框。本甩级P塞KI密系统奶新增步审计蔽员角宁色，蓬与审关计相艘关的肺权限博只应葡分配柱给审棵计员础。

票操作聪员：看签发蝴和撤啦销证养书。舞

拼审计巾员：预查看耳和维傻护审举计日犁志。遵

贡系统布应具太备使劳主体纽与角胸色相希关联考的能撒力，率并保漫证一羞个身唤份不塘应同务时具柜备多等个角索色的驳权限键。一摸个人贩不应鼠同时氧拥有拉多个抓角色乳，开爬发者岩应在蓬系统谢设计践时对善角色捞的管时理进零行相边关限免制。侍

滚角色获的安喂全功搬能管屡理应表按表编6中尖的配粪置对肿授权升的角霞色修凑改安述全功客能的洋能力柳进行翠限制师。示5.汽3.赠4预访问动控制势5.凭3.笛4.客1扒系统柱用户抱访问颂控制兵注册蚁和注塑销能词够访合问P凑KI触系统问信息夫和服高务的雄用户宁应按拳正规镜的程肯序执乖行。寄分配柳或者勾使用殃系统第特权摆时，爱应进朴行严蠢格的拾限制攻和控毛制。讯进行皮口令高分配训时，萝应通烫过正做规的收程序壳控制映。应模定期仗审核症系统锡用户担的访胖问权茎限，格检查落不应笨有的胃权限强分配泳。选油取和博使用洒口令丛时系生统用桌户应吗按已杜定义辆的策系略和炭程序曲进行算。系白统用三户账拢号和校终端及用户断账号隔应严塌格分假类管查理。牛对无创人值自守的砌设备锡应有约适当拉的保疑护措俭施，须用户蝴登录奇时应基严格疤控制例和记脂录占。碎PK减I系醒统文徒档中浮，应弓有访忠问控互制的帐相关基文档欢，访逼问控倾制文奖档中狸的访仍问控捡制策唯略应械包含假设下飞几个垒方面谋：场a)珠角雄色及屈其相叠应的测访问围权限减

销角色初及其佛相应亏的访拴问权玩限的掘分配叙见表占7。舌b)甲标抬识与忍鉴别点系统申用户亭的过守程

敌应符乔合5允.3威.5贴的要欣求。宇c)阅角察色的菌职能夫分割

拥应符吼合5脏.3晒.3低的要天求。饼d)打进优行P钻KI冲系统揭的特铁定操棕作时抄需要棍的最保小系付统用把户人端数最扫少应偷满足挺以下省要求糖：

怪CA丸私钥暗和关直键部群件密锅钥的就生成涌、备薯份、两更新费、导针入导贯出、症密钥鹊恢复幸、密团钥销善毁等舅操作翅要求楼有多穿个系晌统用葱户同颜时在窗场，扭并符寺合表递7的求要求帽。非5.假设3.失4.某2孕网络测访问兰控制营进行组远程龄访问聪时，虾PK皱I系元统应孟提供租访问享控制乐。远勇程用衬户只胜有被壤认证丑通过所后，搜PK户I系续统才朽允许配访问塞，并饿只对精授权宜用户穷提供镰被授位权使蚕用的德效劳税。系斜统开额发者拣应提括供对歪远程踏用