云安全服务作为网络安全服务的最新服务形式，将云计算技术和业务模式应用于网络安全领域，以云的方式交付安全能力，已经成为安全服务行业新的竞争领域，各种云安全服务产品竞相推出，目前常见的主要有主机安全类、网络安全类、数据安全类、应用安全类和安全运营类等产品。安全云存储系统提供的是数据安全类云安全服务，以规范化、易集成、跨平台的接口调用形式对外提供数据安全能力，包括数据加密、密钥管理、密文检索等。安全云存储系统建设者不必了解相关密码学知识，不必构建纷繁复杂的密钥管理系统，不必关心数据安全功能的内部实现逻辑，只需调用开放接口即可获得专业、强大的数据安全能力，免去了密码定制开发的工作。
云安全服务基于云计算平台实现，包括安全组件和安全服务端两部分，系统架构如图1.5所示。其中，安全组件以一种易集成的、标准API的形式对外提供服务，使用多种编程语言实现，兼容目前主流的桌面和移动操作系统，便于用户简单、快速地将安全组件集成到自身应用中，调用安全组件提供的开放接口即可实现数据加/解密、密钥管理、密文检索等功能。安全服务端为安全组件的各个功能接口提供配套服务，并存放用户认证信息、密钥信息、密文索引信息等。安全组件和安全服务端之间使用安全传输信道进行通信。
使用云安全服务的用户首先需使用接入凭证进行用户认证，认证通过后便可获取数据加/解密、数据同步、密钥管理和密文检索等安全服务。
（1）数据加/解密：以安全组件的形式为用户提供基于国际密码标准和国产密码算法的统一加/解密功能，用户只需获取该安全组件并调用相应接口，即可获取数据加/解密能力。数据加/解密服务采用“一文一密”的加密方式，支持用户自定义加/解密配置和加/解密算法，支持的密码算法包括且不限于SM1、SM4、3DES、AES-128、AES-196、AES-258等。其中，SM1算法和SM4算法是我国自主设计的分组对称密码算法，均可用于实现数据的加/解密运算，以保证数据和信息的机密性。
图1.5 云安全服务的系统架构
（2）数据同步：通过安全组件中的数据同步接口对外提供数据同步服务，将用户上传的数据密文索引信息发送至安全服务端进行存储。
（3）密钥管理：通过安全组件中的密钥管理接口对外提供密钥管理服务，采用主密钥、密钥加密密钥、会话密钥、文件加密密钥等多级密钥管理方法，实现多级密钥生成、使用、更新、备份和恢复等全生命周期管理方案，根据密钥管理策略对用户授予多级密钥的使用权限。通过密钥备份功能对主密钥、密钥加密密钥和文件加密密钥等进行备份，防止密钥丢失带来的安全问题。备份的数据也包括和加密密钥有关的其他数据库文件（如加密密钥和文件的对应关系表、用户表）等。
（4）密文检索：通过安全组件中的密文检索接口对外提供密文检索服务，采用倒排表或聚类数据结构建立良好的密文索引模型，支持针对txt、pdf、word等非结构化数据的密文快速检索，支持多关键词可排序密文全文检索，同时不泄露检索内容。
此外，云安全服务还具备安全审计功能，可对获取云安全服务的用户操作行为进行日志记录，日志信息包括操作主体、客体、行为、时间、行为结果等内容，同时提供日志浏览查询和系统行为分析等审计功能。 
