4. 签名链路核心组件：密钥管理系统（KMS）、签名服务、证书颁发机构（CA）、时间戳服务（TSA）

多租户签名链路是一条从密钥生成到签名验签的完整信任链，其核心由四个基础组件构成：密钥管理系统（KMS）、签名服务、证书颁发机构（CA）和时间戳服务（TSA）。在自动化驱动的流水线中，这四个组件必须通过标准接口集成，并支持多租户隔离与高并发调用。

4.1 组件职责与交互关系

下表从功能定位、核心接口、多租户关注点三个维度对比四个组件：

4.2 签名链路核心架构

下图展示了四个组件在签名链路中的位置与数据流关系。签名请求从流水线触发后，依次经过签名服务、KMS、TSA，最终输出带时间戳的签名结果。

4.3 组件详解

4.3.1 密钥管理系统（KMS）

KMS 是签名链路的安全基石。在多租户场景下，KMS 必须满足以下要求：

• 租户密钥隔离：每个租户拥有独立的密钥空间，密钥材料不得跨租户访问。推荐使用 HSM 分区或软件加密的密钥容器实现。
• 密钥轮换策略：支持自动轮换，轮换周期可配置（如 90 天）。轮换时旧密钥仍可用于验证，新签名使用新密钥。
• 签名运算接口：提供 Sign(tenant_id, key_id, digest_algorithm, message_digest) 接口，返回签名值。
• 审计日志：记录每次密钥操作，包括租户 ID、操作类型、时间戳、结果状态。

4.3.2 签名服务

签名服务是流水线直接调用的入口组件。它负责：

1. 请求验证：校验签名请求的租户身份、权限、参数完整性。
2. 密钥路由：根据租户 ID 和签名模板，从 KMS 获取对应的密钥句柄。
3. 签名执行：调用 KMS 的 Sign 接口完成签名运算。
4. 证书绑定：从 CA 获取签名证书链，附加到签名结果中。
5. 时间戳绑定：调用 TSA 获取时间戳令牌，嵌入签名结果。
6. 结果封装：输出标准格式的签名数据（如 PKCS#7、CAdES、XAdES）。

签名服务的关键性能指标：

4.3.3 证书颁发机构（CA）

CA 负责签发和管理数字证书。在多租户签名链路中，CA 通常采用分层架构：

• 根 CA：离线保存，仅用于签发子 CA 证书，不参与在线签名流程。
• 子 CA（租户 CA）：每个租户拥有独立的子 CA，用于签发该租户的签名证书。子 CA 的密钥由 KMS 管理。
• 终端证书：直接用于签名的证书，有效期较短（如 1 年），支持自动续期。

4.3.4 时间戳服务（TSA）

TSA 为签名提供可信时间证明，确保签名在证书有效期内完成。核心要求：

• 时间源：TSA 必须同步自国家授时中心或 GPS 时钟，偏差 ≤ 1 秒。
• 时间戳令牌格式：遵循 RFC 3161，包含时间戳、TSA 证书、签名值。
• 长期验证：支持时间戳令牌的长期保存，即使签名证书过期，时间戳仍可证明签名时间点。
• 高可用：TSA 必须部署多节点集群，避免单点故障导致流水线阻塞。

4.4 组件集成接口规范

下表列出四个组件之间的标准接口调用关系：

4.5 多租户隔离策略

在自动化流水线中，四个组件必须协同实现租户隔离：

• KMS 层：每个租户使用独立的 HSM 密钥分区或软件密钥容器，密钥 ID 前缀包含租户标识。
• 签名服务层：签名请求中携带租户 ID，服务根据租户 ID 路由到对应的密钥和证书模板。
• CA 层：每个租户拥有独立的子 CA，证书 DN 中包含租户标识，CRL 按租户隔离。
• TSA 层：时间戳服务本身不感知租户，但签名结果中的时间戳令牌与租户证书绑定，实现间接隔离。

4.6 签名链路时序流程

下图展示一次完整的签名请求在四个组件之间的时序交互：

4.7 自动化集成检查清单

在 CI/CD 流水线中集成签名链路时，建议逐项确认以下要点：

• 接口可用性：KMS、签名服务、CA、TSA 的 API 端点是否在流水线环境中可达？是否需要配置代理或白名单？
• 认证与授权：流水线服务账号是否已获得调用各组件 API 的权限？是否使用 mTLS 或 API 进行身份认证？
• 超时与重试：签名请求的超时时间是否合理（建议 5 秒）？是否配置了指数退避重试策略？
• 错误处理：当 KMS 或 TSA 不可用时，签名服务是否返回明确的错误码？流水线是否根据错误码决定重试或终止？
• 审计日志：每次签名操作是否记录了租户 ID、请求 ID、签名时间、结果状态？日志是否集中存储并支持检索？
• 性能压测：在流水线正式上线前，是否对签名链路进行了压力测试？是否验证了在峰值并发下的延迟和吞吐量？