统一电子印章系统建设方案.docx

统一电子印章系统建设方案“赣服通”电子印章应用服务系统按照“赣服通”接入技术规范 和要求，为商事主体和自然人提供电子印章申领、自然人电子签名申 领、印章（签名）管理、印章（签名）授权、印章（签名）变更、印 章（签名）冻结/解冻、印章（签名）注销、赣服通扫描二维码签章 和验章服务。政务服务网电子印章应用服务系统按照政务服务网的接入技术 规范和要求，为商事主体和自然人提供电子印章申领、自然人电子签 名申领、印章（签名）管理、印章（签名）授权、印章（签名）变更、 印章（签名）冻结/解冻、印章（签名）注销、上传已盖章的文件进 行在线验真服务。3. 7第三方业务融合功能要求按照人民政府关于印发电子印章管理暂行办法的通知（赣府 厅字202161号）文件的要求，需实现与国家政务服务平台及省 公安厅等业务系统进行对接，实现融合应用；第三方业务融合功能要求方面，需包括开发与第三方应用系统技 术对接的服务接口，对接国家政务服务平台电子印章系统，提高我省 电子印章服务能力；对接省统一身份认证系统实现商事主体和自然人 办理和使用电子印章时的身份核验；对接省政务区块链系统实现电子 印章全生命周期及使用过程全流程上链及验真时调用链上数据进行 核验；对接省市监局商事登记管理系统和电子营业执照签发系统实现 电子印章与电子营业执照同步发放及商事主体状态改变与电子印章 联动；对接省公安厅印章业治安管理信息系统实现电子印章编码与省 公安厅印章业治安管理信息系统同步及电子印章制作数据备案。4指标需求4.1应用系统指标要求序号指标项指标要求1参数要求支持使用基于PKI体系标准的数字签名、加密技术对 印章及文件提供保护和验证，电子印章所需的数字证 书签发，应符合遵照中华人民共和国电子签名法， 为用户提供的电子认证服务必须由符合国家密码管 理局及工信部许可的第三方认证机构提供。2党政机关和事业单位的电子印章需遵循国家政务服 务平台统一电子印章 总体技术架构 (ZWFWC0118-2019)国家政务服务平台统一电子印 章 签章技术要求(ZWFWC0H9-2018)、国家政务服 务平台统一电子印章 印章技术要求 (ZWFWC0120-2018)国家政务服务平台统一电子印 章 接入测试方法(ZWFWC0121-2018)、国家政务服 务平台统一电子印章 系统接口要求 (ZWFWC0122-2018)的文件要求，市场主体和自然人 的电子印章需遵循信息安全技术安全电子签章密 码技术规范(GB/T 38540-2020)文件要求，实现不 规则的数字签名以可视化的数字化电子印章形式出 现，保护电子印章的安全；3支持在客户端对PDF、0FD常用的格式文档进行电子 签章，且支持在客户端直接验证。4支持根据公安厅提供的印章编码自动生成电子印章 图片，也支持手动上传印章图片；5对电子印章签章制定相关的规则与标准，支持关键字定位与坐标定位;6具备印章全生命周期管理、可视化盖章能力；7需与一体化政务服务平台的统一身份认证系统对接 实现可信身份认证；8电子印章系统应用服务体系的结构、容量。支持B/S、 C/S模式；满足用户数量3000000以上，并发用户不 低于1000o9应用环境（支持电脑端和移动端应用）。服务端：支持 Linux、Unix、WindowsServer> 统信、 麒麟。客户端：支持 WINXP、WIN7、WIN8、WIN10、统信、 麒麟、中科方德操作系统。浏览器：支持IE、谷歌、火狐、UOS、奇安信等常用 浏览器。移动端：支持Android、I0S等主流终端。10电子印章制作及应用服务，支持用户管理、权限管理、 签章管理、验章管理、印章管理、审计日志、对接第 三方CAo11支持控制APPKEY应用权限使用电子签章，控制在采 购人指定的业务系统（应用）使用电子印章功能。12建设的所有应用系统均需要支持Web服务器、数据库 服务器、异地数据库备份服务器、F5均衡负载设备。13支持在云端对PDF和0FD版式文档进行云端签章，并 支持云端对签章后文档的有效性、完整性进行验证， 提供完善的接口调用API接口，供业务应用对接签章4. 2签名验签池指标要求服务。14支持多用户使用，支持对接入外部应用进行授权管 理。15支持电子印章多种的调用模式，支持通过接口指定关 键字、坐标等盖章规则实现自动加盖印章和骑缝章能 力，支持以工具的方式自主拖拽式加盖印章和骑缝章 的能力。19性能要求应用支持扩展支撑2500万用户。20签章环节：按照三10000件用章文件/天，4个章合计 240000次用章/天，并发200次/秒。21验章环节：按照集中白天8小时检索的应用预设，支 持三1000次/秒的性能要求；22须为用户提供终端签章工具，可以满足用户业务中版 式文档和流式文件的盖章和验章需求。23统一电子印章服务在常规使用（并发用户数500/s） 下，其API调用的响应时间应在1秒以下、通过率 95%,高峰时期（并发用户数1000/s）,其API调用 的响应时间应在3秒以下、通过率95%24可用性方面：自身原因宕机次数少于每年2次1调度单元1、 配备2个1000M接口、采用安全操作系统、WEB管理配置界面。2、支持对计算单位的注册管理，可以通过动态添加 和删除实现与计算单位的无缝切换。3、支持多种分发策略，包括IP策略，证书标识策 略和业务策略等多种策略的配置。4、针对不同分组可以设置不同的策略，灵活支持多 种用户应用需求。5、支持对计算单元的灵活分组，实现快速处理高并 发的业务场景。6、支持服务故障后自动隔离和业务恢复后自动挂载 等智能操作。7、支持自定义负载均衡，可根据负载的名称和端口 号进行负载。2管理单元1、配备2个1000M接口、采用安全操作系统、WEB管理配置界面。2、支持应用注册，具备三权管理、配置管理、监控 预警、系统维护、租户管理等能力；3、采用加密技术与存储单元、计算单元进行数据往 来；4、安全保密管理员可创建、修改和删除隶属于安全 保密管理员权限的租户；5、租户创建后便会根据特有定律和计算公式得出唯 一的认证凭证；6、每天租户能够通过各自的数字证书安全登录到签 名平台管理服务；7、每个租户能够独立进行其证书的管理，包括证书查看、添加、修改、删除、导入、导出等；8、每个租户能够对各自的业务进行监控和统计。9、支持通过管理员对所有租户进行业务数据的监控和统计。10、支持与原有的管理单元进行兼容3计算单元1、硬件，3U机架式；2、支持可以在不停业务的情况下进行节点扩容3、支持快速扩展节点部署，时间缩短到以分钟计算4、支持与存储节点利用加密技术传输密钥置换5、支持高可用实现避免单点故障6、支持对敏感信息（数据库敏感信息、用户数据敏感信息等）进行加密处理；4存储单元1、硬件，3U机架式；2、支持虚拟化的云密码卡进行证书和密钥的独立安 全存储；3、采用虚拟化技术及集群技术以达到高可用性；4、随着证书存储服务器增加，证书存储服务器中的 密钥和证书存储的数量也随之增加，实现灵活扩展； 5、支持多证书安全管理，支持云密码卡的轻量级虚 拟化，构建更多的密钥存储容器，实现证书密钥隔 离存储和调用，满足更多证书密钥的安全存储、安全调用和安全管理的需求； 密钥生成与管理：支持通过物理噪声源生成256位SM2密钥对和 1024/2048/3072/4096位 RSA 密钥对。 密钥的安全存储：设备内可存储100对SM2密钥对（包括签名 密钥对和加密密钥对）和100对RSA密钥对（包括签名密钥对 和加密密钥对）并且私钥部分受系统保护密钥加密保护。 对称加解密：支持SMI、SM4国密算法和3DES、AES国际算法的数 据加密和解密运算。 消息鉴别码的产生和验证：支持基于SM4算法、SM1算法的MAC产 生及验证。 数据摘要的产生和验证：支持SM3、SHAK SHA2杂凑算法。 数字签名的产生和验证：可以根据需要使用内部存储的 RSA/SM2私钥或外部RSA/SM2私钥进行数字签名和验签。 数字信封功能：支持基于RSA/SM2密码算法的数字信封，并支 持由内部密钥保护到外部密钥保护的数字信封转换。 随机数的产生：采用由国家密码管理局批准的双物理噪声源生 成随机数。 用户权限控制：具有用户管理功能，对访问用户分级管理，提高密码设备自身的安全性。密钥备份及恢复：支持基于备份密钥保护下的密钥备份和恢 复，保证系统的安全性和可靠性。1建设目的32建设内容43技术需求5应用安全支撑平台功能要求63.1 电子印章统一门户网站功能要求8电子印章制作子系统功能要求83.2 电子印章状态管理子系统功能要求93. 5电子印章场景应用和管控子系统功能要求93.6电子印章公共服务子系统功能要求93. 7第三方业务融合功能要求104指标需求104.1应用系统指标要求104. 2签名验签池指标要求134. 3服务器密码指标要求161建设目的按照国务院办公厅关于加快推进电子证照扩大应用领域和全 国互通互认的意见（国办发（2022） 3号）、数字政府建设三年行 动计划（2022-2024年）（赣府厅字2022） 49号）、电子印章 管理暂行办法的通知（赣府厅字（2021） 61号）的文件精神，贯 彻落实党中央、国务院及省委、省政府的决策部署，强化我省基础支 撑体系，按照国家电子印章和电子签名标准规范，建立全省权威、规 范、可信的统一电子印章系统，为政务事项的审批、办结、证照生成 等环节提供电子印章制章、管章、用章、验章等服务。本次建设的统一电子印章系统，是由应用安全支撑硬件和电子 印章软件结合的一体化公共支撑服务，是我省数字政府建设的基础支 撑，系统依托赣服通、电子政务外网为全省各级党政机关、市场主体 和个人提供标准的印章制作、备案、管理、用章、验真等功能，全省 各级党政机关依托统一电子印章系统的服务能力，实现优化服务流程, 把服务事项网上办结率再做新提升，进一步提高政务服务办事效率和 服务水平。本次建设的统一电子印章系统，以集约化建设的方式对全省各 级党政机关、市场主体和个人的电子印章进行集中管理，并确保电子 印章的安全和系统安全，因此系统的建设需通过国产密码算法及合法 合规的密码产品实现整体安全可靠，按照中华人民共和国密码法、中华人民共和国电子签名法、商用密码管理条例的要求，本 次项目的密码产品必须满足GB/T 25064-2010信息安全技术公钥基础设施电子签名格式规范、GM/T 0029-2014签名验签服务器技术规范的要求。通过本次项目的建设，贯彻落实好国家、我省的相关文件精神， 为政务服务解决跨层级、跨地域、跨系统、跨部门、跨业务的应用瓶 颈提供支撑，优化服务流程，解决企业与群众办事的堵点难点，进一 步提高政务服务办事效率和服务水平，真正实现群众少跑腿信息多跑 路，提升便民服务质量，降低群众办事负担，助力我省加速建成政务 服务满意度一等省份，减轻政府工作人员的工作强度，优化我省营商 环境，引领我省高质量发展。2建设内容本次项目的建设内容为：一是建设应用安全支撑平台，购置签名 验签池管理单元、调度单元、计算单元、存储单元、签名验签服务器 和服务器密码机等软硬件设备，为我省党政机关、商事主体、自然人 提供密码、数字证书等电子印章安全支撑服务；二是建设电子印章统 一门户网站，建立统一门户网站数据库，开发服务综合管理、监管服 务、运维管理、用户公共服务等应用功能，为我省电子印章应用场景 便捷接入、监管、安全运维等工作提供服务；三是建设电子印章制作 子系统，建立电子印章制作数据库，开发印章制作分权管理、印章制 发备案管理、电子印章生命周期管理、审计日志管理、电子印章印模 安全管理等应用功能，为全省党政机关、市场主体及自然人提供电子 印章制发备案服务；四是建设电子印章状态管理子系统，建立电子印 章状态管理数据库，开发电子印章发布管理、查询管理、业务审计等 应用功能，实现我省电子印章状态管理和通过国家政务服务平台统一 电子印章系统跨区域查询其他省市电子印章状态；五是建设电子印章 场景应用和管控子系统，建立电子印章场景和管控系统数据库，开发 业务网关管理、业务分发管理、业务授权管理、多端业务同步管理、 用章开放服务、验真开放服务、应用场景接入管理、分级部署管理等 应用功能，为我省电子印章应用和管理提供技术支撑；六是建设电子 印章公共服务子系统，建立电子印章公共服务数据库，依托赣服通和 政务服务网分别开发印章申领、印章发布、印章授权、印章使用、印 章核验等应用功能，为市场主体和自然人提供便捷的电子印章服务; 七是建设第三方业务融合系统。开发与国家政务服务平台电子印章、 省统一身份认证、省政务区块链、省市监局商事登记管理、省市监局 电子营业执照、省公安厅印章业治安管理信息等应用系统对接接口, 提高电子印章服务能力。序号建设内容数量1电子印章统一门户网站1套2电子印章制作子系统1套3电子印章状态管理子系统1套4电子印章场景应用和管控子系统1套5电子印章公共服务子系统1套6第三方业务融合系统1套7密码服务1次3技术需求统一电子印章系统需依托电子政务外网、政务云，利用现有信息 化基础设施进行建设，以集约化的方式部署省级统一电子印章系统， 统一电子印章系统必须通过电子政务外网能够与国家政务服务平台 统一电子印章系统保持实时互通，且具备面向党政机关、市场主体和 自然人的服务能力。3.1 应用安全支撑平台功能要求本次项目将新建设签名验签池和服务器密码机，为我省党政机关、 商事主体、自然人提供密码、数字证书等电子印章安全支撑服务。签名验签池由软件和商用密码硬件组成，软件模块包括管理单元、 调度单元、计算单元、存储单元：1. 1.1调度单元调度单元是建立在应用和签名池平台一计算单元的业务枢纽，能 够快速处理高并发的业务场景、且支持服务故障后自动隔离和业务恢 复后自动挂载等智能操作。3. 1. 1. 1、设备管理设备管理模块，负责注册计算单元到调度单元。通过动态添加和 删除实现计算节点的无缝切换。4. 1. 1.2、设备分组设备分组模块，负责分配一组计算单元共同承担同一类业务请求, 实现高并发。当某个节点出现故障，触发熔断机制，请求会继续正常 提供服务。5. 1. 1. 3、调度策略调度策略模块，是分发请求规则核心模块，调度支持多种分发策 略，包括IP策略，证书标识策略和业务策略等多种策略的配置，同 时针对不同分组，用户可以设置不同的策略，灵活支持多种用户应用 需求场景。3. 1. 2管理单元管理单元负责签验池平台配置管理。通过集中管控中心注册，可高效扩充存储能力及运算能力，具备三权管理,配置管理,监控预警， 系统维护，租户管理等能力，其中采用加密技术与存储节点、计算节 点进行数据往来。具备云计算的特性并能自身的扩容。3. 1.2. 1、安全管理安全保密管理员可创建、修改和删除隶属于安全保密管理员权限 的租户；创建后便会根据特有定律和计算公式得出唯一的认证凭证。3. 1.2. 2、业务管理每个业务模块都遵循https证书认证体系来完成安全登录系统, 进行查看、添加，修改，删除，导入，导出等对证书进行管理。可通 过业务证书历史模块对证书历史记录进行查看。3. 1.2. 3、系统管理系统管理员遵循https证书认证体系来完成安全登录系统。可对 管理员白名单、站点证书、网络管理、监控预警、升级、安全性设置、 时间、安全级别、自检测等功能管理。3. 1.2. 4、审计管理审计管理员遵循https证书认证体系来完成安全登录系统。可对 管理日志进行审计查看。3.1. 3计算单元计算单元通过独立高效的密码运算以及微服务架构的承载以支 撑大并发的业务处理，通过流量控制技术可以在不停业务的情况下进 行扩容，使用模板技术创建新的节点将部署时间缩短到以分钟计算; 计算能力和存储能力随服务节点数量增加而线性增长。与存储节点利 用加密技术传输密钥置换。采用熔断机制解决了由于一个微服务挂掉 导致整个系统都不可用（雪崩效应）的情况发生。存储单元存储节点采用具有虚拟化的云密码卡实现了证书和密钥的独立 安全存储；采用虚拟化技术及集群技术以达到高可用性；随着存储节 点增加时，存储块中的密钥和证书存储的数量也随之增加，进而可以 灵活扩展；通过加密技术达到安全可靠的与业务节点、计算节点之间 的数据往来级。1.1 . 5服务器密码机需能够满足与国家政务服务平台统一电子印章系统建立可信数 据传输通道和省统一电子印章系统安全应用保障支撑，考虑容灾，配 备2台服务器密码机进行双机热备。1.2 电子印章统一门户网站功能要求统一电子印章系统的统一门户，需建立统一门户网站数据库，并 开发服务综合管理功能、监管服务功能、运维管理功能、用户公共服 务功能；服务综合管理功能主要包括为应用开发商提供全面的应用接 入指南以及服务数据统计，应用服务对接、应用开通、联调测试环境 等功能；监管服务功能为监管部门提供应用开发商管理、用章管理、 印章管理、电子印章驾驶舱、审计服务等功能；运维管理功能主要为 运维工作人员提供工作台、系统智能预警、工单等功能；用户公共服 务功能为综合各类用户的需求，以综合性服务门户对公开信息进行统 一展现，为我省电子印章应用场景便捷接入、系统监管、系统安全运 维等工作提供信息导航、管理、服务等支撑。1.3 电子印章制作子系统功能要求电子印章制作子系统，需遵循相关标准规范的要求，建立电子印 章制作数据库，开发系统初始化管理、系统角色及用户权限管理、印 章制作分权管理、印章制发备案管理、电子印章生命周期管理、审计 日志管理、电子印章印模安全管理、外部服务接口等应用功能，实现 支撑全省党政机关、市场主体及自然人的电子印章统一制发备案需求。1.4 电子印章状态管理子系统功能要求电子印章状态管理子系统，需建立电子印章状态管理数据库，开 发电子印章状态发布管理、电子印章吊销管理、电子印章吊销列表下 载及管理模块、电子印章查询管理、电子印章业务审计、系统管理、 外部应用服务接口等应用功能，我省电子印章状态管理和通过国家电 子印章系统跨区域查询其他省市电子印章状态。3. 5电子印章场景应用和管控子系统功能要求电子印章场景应用和管控子系统需提供电子印章各类应用场景 用章和验章的服务能力及电子印章全生命周期管理和系统管理的相 关服务，包括建立电子印章场景和管控系统数据库，开发业务网关管 理、业务分发管理、印章状态综合查询、业务授权管理、多端业务同 步管理、用章开放服务、验真开放服务、印章综合管理、用章日志审 计、角色管理及角色赋权、管理员管理及权限控制、用户管理及访问 控制、应用场景接入管理、服务器密码机管理、分级部署管理业务模 块、OFD分散式签章客户端、PDF分散式签章客户端、HTML5表单签 章、外部应用服务接口等应用功能，为我省电子印章应用和管理提供 技术支撑。4. 6电子印章公共服务子系统功能要求电子印章公共服务子系统需建立电子印章公共服务数据库，依托 赣服通和政务服务网两个服务终端分别开发印章申领、印章发布、印 章授权、印章使用、印章核验等应用功能，为市场主体和自然人提供 便捷的电子印章服务。