自建 eSIM RSP 解决方案笔记

本文档详细介绍了构建一个可扩展、灵活且可靠的 eSIM 远程订阅管理 (RSP) 服务所需的任务和步骤。以下是笔记内容：

一、 搭建基础设施

构建 RSP 服务的第一步是搭建基础设施，具体取决于你的需求复杂程度：

1.

传统方式：

• 硬件需求： 需要服务器、机架、硬件安全模块 (HSM)、存储设备、电源备份设备、防火墙、备份工具等。
• 安全措施： 需部署在安全场所，配备闭路电视 (CCTV)、门禁读卡器、消防和防水设备等。

2.

云服务方式 (推荐)：

• 优势： 借助亚马逊 AWS、微软 Azure 或谷歌云等经过 SAS-SM 认证的公共云提供商，只需点击几下即可快速创建按需服务，几乎可以即时搭建基础设施。
• 灵活性： 云服务提供更高的可扩展性和灵活性，便于根据需求调整资源。

二、 部署 RSP 系统

基础设施搭建完成后，即可开始部署 RSP 预生产系统 (staging system)，该系统对 RSP 服务的整个生命周期至关重要：

1.

预生产系统的重要性：

• 服务运营： RSP 软件提供商在部署和服务运营期间将持续访问该系统。
• 功能支持： 在发布测试和事件解决过程中发挥关键作用。
• 审计准备： 在获得最终生产系统的签名证书之前，用于 GSMA 初始 SAS-SM 审计。

2.

系统架构：

• 组件配置：
  • 容器注册表 (Docker 容器存储)
  • Kubernetes 集群 (RSP 应用集群)
  • Kubernetes 集群的工作节点 (虚拟机)
  • 代理节点 (虚拟机)
  • 数据库服务
  • HSM (符合 FIPS 140-2 3 级认证标准)
  • 防火墙
• 集群管理节点： 负责整个集群的健康状况，并管理所有运行服务的编排。
• 日志集群： 可托管 Elasticsearch 节点以存储系统日志，并提供日志监控软件的访问权限。

3.

RSP 软件部署：

• 容器化部署： RSP 软件以容器形式部署在由容器管理软件管理的虚拟环境中。
• 软件设计要求：
  • 轻量级： 占用空间小，内存和 CPU 使用率低，系统资源占用少。
  • 高效性： 避免代码膨胀，优化算法效率。
  • 持续优化： 从一开始就需要正确的设计，并在所有软件版本中持续进行优化。
• 开发原则：
  • 持续集成 (CI)： 避免传统软件开发实践中的长发布周期，降低错误风险，便于快速纠正问题，防止严重且长期的服务中断。
  • 部署流程：
    • 预生产环境： 作为生产环境的克隆版本，确保与生产环境高度相似，避免因差异导致故障。
    • 版本控制： 维护代码库。
    • 构建自动化： 源代码编译自动化。
    • 自测试： 在代码构建完成后，确认其按预期运行。
    • 测试用例： 复制每一个已识别的错误。
    • 快速安全交付： 使构建版本能够快速、安全地提供给到运营团队。

三、 系统与流程集成

RSP 解决方案部署完成后，需要将其功能与其他系统进行集成：

1.

GSMA 指定的接口：

• 消费者解决方案： 集成范围较为简单，主要涉及与移动网络运营商 (MNO) 的交互。
• M2M 解决方案： 需要更广泛的集成，包括：
  • EIS1 接口： 用于向 SM-SR 提供 eSIM 数据。
  • ES2 接口： MNO 用于向 SM-DP 订购配置文件下载，并向 SM-SR 传递配置文件状态管理命令。
  • ES3 接口： SM-DP 和 SM-SR 之间的内部接口，仅在集成外部 RSP 组件时公开。
  • ES4 接口： MNO 或关联的物联网服务提供商用于管理配置文件状态和配置 SM-SR 上的 eSIM 参数。
  • ES7 接口： 启用“SM-SR 更改”程序，将已配置的 eSIM 设备从一个 SM-SR 移动到另一个 SM-SR (由于商业复杂性，很少使用)。

2.

MNO 配置文件配置：

• GSMA 未指定 SM-DP(+) 的一个关键功能 - MNO 配置文件的配置。
• RSP 解决方案应支持两步流程，模拟现有流程：
• 第一步： 将预开发的配置文件模板导入 RSP 系统。
• 第二步： 导入配置文件个性化数据。
• RSP 系统通过合并模板和个性化数据来创建 eSIM 下载的配置文件。

3.

其他集成可能性：

• 根据所选的业务和服务模式，集成范围可以更广泛。
• RSP 软件提供商应通过 REST (表述性状态转移) 公开广泛的功能，以便于访问其服务。
• 为了确保系统未来可扩展性，建议选择能够基于敏捷开发流程交付定制和新增功能的软件提供商，以实现快速发布和部署周期。

四、 GSMA 安全审计

在请求授权证书颁发机构 (CI) 签发的证书之前，必须进行 GSMA 安全审计：

1.

SAS-SM (订阅管理安全认证计划) 概述：

• 涵盖 eSIM 远程配置和管理中的以下活动：
• 资产保护： 每个系统组件都涉及需要保护的具体资产，包括数据、密钥、证书、配置等。
• 安全要求： 所有资产必须得到控制并受到密切监督，以确保安全存储和处理。 “SAS 综合安全要求”文档中指定了相关要求，涵盖以下领域：
  • 政策、战略和文档，包括业务连续性规划
  • 组织与责任
  • 信息安全
  • 人员安全
  • 物理安全
  • 证书和密钥管理
  • 敏感流程数据管理
  • SM-DP、SM-SR、SM-DP+ 和 SM-DS 服务管理
  • 计算机和网络管理

2.

审计流程：

• 审计阶段： GSMA 审计程序分为三个阶段。
• 审计机构： 审计由 NCC Group 和 SRC Security Research & Consulting GmbH 代表 GSMA 进行。

五、 生产系统上线

1.

预审计准备：

• 在成功通过 SAS-SM 预审计后，即可开始准备上线服务。

2.

生产系统部署：

• 系统克隆： 生产系统作为预生产系统的克隆版本进行部署，其防火墙配置符合预期的安全级别。
• 证书生成： RSP 服务提供商现在可以生成所有所需系统证书，并将证书签名请求 (CSR) 发送到指定的证书颁发机构。

3.

成本问题：

• RSP 服务提供商需要承担高昂的成本，目前该领域缺乏透明度。
• 随着越来越多的公司加入认证 RSP 提供商的行列，GSMA 可能会调整规则，以确保新老 RSP 提供商之间的公平竞争。

4.

上线准备：

• 证书安装： 一旦签名证书安装在生产系统中，即可进行批准测试。
• 测试内容：
• 消费者 RSP 解决方案： 包括配置测试、端到端测试、安全测试等。
• M2M RSP 解决方案： 除了上述测试外，还需要：
  • eSIM 功能的物联网设备/调制解调器 (或可移动形式的 eSIM)
  • 用于 SM-SR 配置的 eSIM 数据
  • SM-SR 的目标地址
  • 用于 SMS 的 SMS-C (短信中心) 链接
  • 用于 HTTPS 的 APN (接入点名称)

5.

上线运营：

• 批准测试完成后，RSP 服务提供商可以开始将 MNO 客户加入系统 - RSP 服务已准备好投入运营。