3. 操作责任边界划分：生成者、保管者、审计者角色定义与分离
3.1 适用场景
在需要离线存储Keystore凭证的组织或项目中，为避免单点权限过高、防范内部作恶或误操作，必须建立三权分立的责任架构。本角色分离原则适用于以下场景：
- 企业私钥管理平台（HSM / KMS 离线备份）
- 区块链节点或钱包的助记词/keystore文件归档
- 多签名地址的私钥分片离线存储
- 合规审计要求严格的金融机构密钥保管
3.2 前置条件
- 已存在明确的组织安全策略文档，批准三权分离原则。
- 已识别至少3名不同职责的人员（或岗位），且不存在利益冲突。
- 已准备角色注册表模板（纸质或数字化隔离环境）。
- 各角色人员已完成基础安全意识培训。
3.3 操作步骤
- 角色命名与任命 – 由安全主管签发任命书，明确生成者、保管者、审计者的身份和替代人员。
- 生成者职责声明 – 生成者签字确认其对Keystore文件的创建、密码强度、完整性哈希负责，且不持有保管权限。
- 保管者职责声明 – 保管者签字确认其对Keystore文件的物理隔离、双人值守、访问登记负责，且不参与生成过程。
- 审计者职责声明 – 审计者签字确认其对定期检查、日志核对、随机抽查负责，且不接触实际密钥材料（仅查看哈希和元数据）。
- 分权副本存储 – 生成者将Keystore文件密封入防篡改信封，分别交给保管者（主副本）和审计者（哈希副本），生成者不留本地副本。
- 记录归档 – 三方共同填写《Keystore责任交接单》，注明文件指纹、日期、签名，一式三份各自留存。
讲师提示： 当人员变动时，必须重新执行全部任命和交接步骤，旧保管者必须在审计者监督下销毁其所持副本。
3.4 输入输出物
| 输入物 | 输出物 |
|---|---|
| 组织安全策略文档 | 角色注册表（含签字） |
| 人员任命名单（安全主管签发） | Keystore责任交接单（一式三份） |
| Keystore文件（待存储） | 密封防篡改信封（主副本 + 哈希副本） |
| 哈希校验工具（如 sha256sum） | 审计日志条目（初始入库记录） |
3.5 责任边界
3.6 记录材料
- 《角色注册表》 – 记录姓名、角色、任命日期、签名、替代人员。
- 《Keystore责任交接单》 – 包含文件名称、SHA256哈希、密封方式、交接日期、三方签字。
- 《审计日志表》 – 记录每次检视的日期、检查项目（密封完整性、哈希一致性）、审计者签字。
- 《销毁/回收记录》 – 当钥匙到期或人员变更时，记录旧副本销毁方式和见证人。
3.7 异常处理
| 异常情形 | 处理措施 | 责任人 |
|---|---|---|
| 生成者无法继续履职 | 安全主管授权替代生成者，三方重新执行角色任命与交接步骤。 | 安全主管 + 审计者 |
| 保管者发现密封破损 | 立即通知审计者，三方同时到场核查，重新封存并记录异常事件。 | 保管者 + 审计者 |
| 审计者发现哈希不匹配 | 停止使用该Keystore，启动内部调查，必要时重新生成。 | 审计者 + 安全主管 |
| 同时两人及以上离岗 | 临时启用备用角色（由安全主管提前任命），并在紧急预案中记录。 | 安全主管 |
3.8 验收标准
- 生成者、保管者、审计者三个角色已明确到具体人员，且无重叠。
- 已完成三方签字确认的《角色注册表》和《Keystore责任交接单》。
- 保管者持有的密封信封经审计者核验，哈希值与交接单一致。
- 审计者已存档初始日志，并具备独立访问审计记录的权限。
- 任何角色无法单方面完成“生成+保管”或“保管+审计”的组合操作。
安全警戒： 在实际操作中，如果同一人同时拥有生成和保管权限，便构成“密钥兜底风险”——攻击者或恶意员工可轻易伪造、替换、盗用Keystore而不留痕迹。三权分立不是可选配置，而是离线凭证存储的基线要求。