标识系统不能塌：NDI 标识管理的安全与运维要求
上篇我们讲了 NDI 标识解析体系怎么把"码"翻译成"地址"。这一篇要泼一点冷水：一套标识系统，如果自身不安全、不稳，它就不是基础设施，而是一颗定时炸弹。
原因很简单——标识是数据流通的"地基"。地基一松，上面所有"目录可查、地址可循、来源可溯"全都塌方。所以规范对标识管理的安全与运维提了一组硬要求。这一篇把它们拆开讲清楚，给做平台建设的人一份可对照的清单。
一、合规底线：等保 + 密评
规范明确要求：标识管理相关系统使用环境应符合信息安全等级保护和商用密码应用安全性评估要求。
这两句话是"及格线"，不是"加分项"：
- 等保（信息安全等级保护）：系统要按定级要求落实访问控制、审计、边界防护等。标识系统掌握大量主体与数据位置信息，属于高敏感资产，定级通常不会低。
- 密评（商用密码应用安全性评估）：涉及身份、密钥、传输的环节要用合规的商用密码算法与产品，并通过密评。
给建设方的直白建议：在立项阶段就把等保定级和密评方案排进计划，别等系统上线被卡合规。
二、高可用：冗余、纠错、容灾
标识信息库和管理设施不能"单机跑"。规范要求具备：
- 冗余部署：关键组件多副本，避免单点故障；
- 纠错能力：数据传输与存储具备检错纠错，防止静默损坏；
- 容灾恢复：发生故障时能恢复服务与数据，且明确恢复目标（RTO/RPO）。
可以这样理解：DNS 如果经常挂，互联网就瘫了；NDI 标识系统如果经常挂，数据基础设施就瘫了。冗余与容灾不是可选项，是基础设施的"出厂设置"。
三、唯一性保障：赋码即校验
标识体系的生命线是"全域唯一"。如果同一个码被分配给两个不同对象，解析就会给出矛盾结果，溯源 chain 直接断掉。
规范要求：在赋码环节做唯一性校验——功能节点发号前，先确认这个码在全域没被占用。尤其是主体标识码（统一社会信用代码）这种公共前缀，一旦冲突，所有以它为前缀的下游编码都会跟着错。
实践上，唯一性保障通常靠：
- 编码空间设计留足（类型码、区域/行业码、随机码分层）；
- 赋码服务集中化、原子化（同一时刻只由一个权威节点发号）；
- 发号前查重 + 写库在一个事务内完成。
四、高并发：扛得住规模化注册与解析
数据基础设施面向的是全国范围的数据流通，标识的注册量和解析量都会非常大。规范要求系统具备高并发能力：
- 赋码请求峰值（比如某行业集中登记）要能横向扩展；
- 解析请求（业务节点频繁寻址）要靠多级缓存 + 就近解析削峰；
- 热点标识（如公共数据产品）的解析不能成为瓶颈。
设计上，解析比赋码更吃并发——赋码是"写"，解析是"读"，且读远大于写。所以架构上往往把解析层做得尽量无状态、可水平扩展，把"写"（标识信息库更新）收敛到少数权威节点。
五、全链路日志审计：每一次操作都留痕
标识系统必须可审计。规范强调全链路日志审计——从赋码、解析到变更、注销，每一步都要留痕：
- 谁（主体 / 节点）发起；
- 对哪个标识做了什么（赋码 / 解析 / 状态变更）；
- 什么时候、从哪来、结果如何。
为什么重要？三个场景：
1. 追溯责任：某数据出问题时，能还原"谁在何时把它登记、解析、流转"； 2. 发现异常：异常的批量解析、越权查询会被日志暴露； 3. 合规举证：等保、密评、监管检查都需要可审计日志。
给建设方的提醒：日志要防篡改、可关联、可留存足够久，否则"留痕"只是形式主义。
六、密钥与数据保护
标识系统本身也在处理敏感信息（主体身份、数据位置、寻址关系），所以配套的密码保护不能少：
- 传输加密：节点间通信走 TLS 等合规加密通道；
- 存储加密：标识信息库中的敏感字段加密存储；
- 访问控制：谁能赋码、谁能查什么范围的标识，要有细粒度权限；
- 密钥管理：密钥全生命周期（生成、轮换、销毁）合规可控。
这些和"等保 + 密评"是一体的，不是额外负担。
七、给你一份建设方清单
把上面六块压成一张可对照的清单：
- 合规：等保定级方案 + 密评方案是否立项
- 高可用：关键组件是否冗余、有无容灾恢复目标
- 唯一性：赋码前是否查重、发号是否原子化
- 高并发：解析层能否水平扩展、有无多级缓存
- 审计：全链路日志是否防篡改、可留存
- 密码：传输/存储加密、访问控制、密钥管理是否到位
六件事都过，这套标识系统才配叫"基础设施"。