Accelerator — GPU yardımcı bileşeni ve KMS sağlayıcı fabrikası

Bir bakışta

NextPDF Enterprise iki hızlandırma özelliği ekler: CPU yedeğiyle birlikte metin gömme için bir GPU yardımcı bileşeni ve koleksiyon düzeyinde veri şifreleme anahtarı meta verisini ve döndürmeyi sağlayan bir KMS sağlayıcı fabrikası. Bu sayfa; davranışı, sınırları ve anahtar muhafaza duruşunu belirtir.

Kullanılabilirlik ve lisanslama

Bu yetenek NextPDF Enterprise (nextpdf/enterprise) paketinde sunulur ve bir Enterprise katmanı lisans zarfıyla etkinleşir. Bu yetkilendirmeye sahip olmayan bir dağıtım, yeteneğin sınıflarını yüklemez. Sürümleri karşılaştırın ve bir lisans alın.

Kavramsal genel bakış

GPU yardımcı bileşeni, metinden vektöre gömmeyi hızlandırır. Enterprise paketi, metni yerel bir HTTP isteği üzerinden ayrı bir yardımcı bileşen sürecine gönderir. Yardımcı bileşen, bir GPU mevcut olduğunda gömme modelini bir GPU üzerinde çalıştırır. Bir GPU mevcut olmadığında yardımcı bileşen aynı modeli CPU üzerinde çalıştırır ve düşürülmüş bir modda çalıştığını bildirir. Sonuç, her iki durumda da aynı vektör biçimidir. Gömme modeli ilk istekte yüklenir; bu nedenle ilk istek, sonrakilerden daha yavaştır. Yardımcı bileşen isteğe bağlıdır; bir kullanılabilirlik denetimi açığa çıkarılır ve eksik bir yardımcı bileşen, sessiz bir hata yerine türlenmiş bir istisna yükseltir.

KMS sağlayıcı fabrikası, yapılandırmadan bir anahtar yönetimi sağlayıcısı seçer. Fabrika, sağlayıcıyı seçmek için bir ortam değişkenini okur. Varsayılan sağlayıcı, yapılandırılmış bir ana anahtardan HKDF-SHA256 kullanarak yerel olarak koleksiyona özgü bir veri şifreleme anahtarı türetir; etki alanı ayırıcısı olarak koleksiyon tanımlayıcısını kullanır. Yerel sağlayıcı hiçbir harici hizmetle iletişim kurmaz; türetme deterministik ve süreç içidir. Fabrika ayrıca yerel sağlayıcı için açık bir yapılandırma biçimini de kabul eder. Bulut sağlayıcıları — AWS KMS, GCP Cloud KMS, Azure Key Vault ve HashiCorp Vault Transit — tanınan sağlayıcı adlarıdır; karşılık gelen entegrasyon kurulu olmadan birini seçmek, eksik bağımlılığı adlandıran türlenmiş bir yapılandırma hatası yükseltir.

Bir sağlayıcı, ham anahtar baytları değil, anahtar meta verisi döndürür. Meta veri; anahtar tanımlayıcısını, monoton olarak artan bir anahtar sürümünü, şifreleme algoritması adını ve sağlayıcı adını kaydeder. Bir döndürme çağrısı anahtar sürümünü ilerletir ve yeni meta veriyi döndürür. Çağıran, bir döndürmeden sonra koleksiyon verilerini yeni anahtar sürümüyle yeniden şifrelemekten sorumludur. Anahtar sürümü ve döndürme yaşam döngüsü NIST SP 800-57 Part 1 Rev.5 §4’ü izler.

Neden bu şekilde çalışır

Gömme, PHP isteğinin içinde değil, ayrı bir GPU yardımcı bileşen sürecinde çalışır. GPU model yüklemesi pahalıdır; bu nedenle yardımcı bileşen modeli bir kez yükler ve bu maliyeti birçok istek arasında amorti eder. Hiçbir GPU mevcut olmadığında yardımcı bileşen aynı modeli CPU üzerinde çalıştırır ve düşürülmüş bir mod bildirir. İş hacmi düşebilir ancak doğruluk düşmez: vektör biçimi her iki durumda da aynıdır. Yardımcı bileşen isteğe bağlı kalır; bir kullanılabilirlik denetimi ve eksik bir yardımcı bileşende türlenmiş bir istisna, hızlandırmayı gizli bir bağımlılık değil, bilinçli bir tercih olarak tutar. Bu ayrım, yüksek hacimli gömmenin özel donanımda ölçeklenmesine olanak tanırken belge işlem hattı düz bir PHP çağrısı olarak kalır.

Tasarım arka planı: Yüksek hacimli belge üretimi.

API yüzeyi

Genel yüzey	Tür	Amaç	Kararlılık	Beri
KMS sağlayıcı fabrikası	sınıf	Ortamdan veya açık yapılandırmadan bir KMS sağlayıcısı oluşturur	stable	2.1.0
KMS sağlayıcısı	arayüz	Anahtar meta verisini alır, bir anahtarı döndürür ve sağlayıcı adını bildirir	stable	2.1.0
Yerel KMS sağlayıcısı	sınıf (sağlayıcı arayüzünü uygular)	Yerel HKDF-SHA256 anahtar türetme; hiçbir harici hizmetle iletişim kurmaz	stable	2.1.0
Şifreleme anahtarı sonucu	değer nesnesi	Değişmez anahtar meta verisi: anahtar kimliği, sürüm, algoritma, sağlayıcı — ham anahtar baytı yok	stable	2.1.0
GPU gömme hizmeti	sınıf (Core gömme hizmeti arayüzünü uygular)	CPU yedeğiyle birlikte bir GPU yardımcı bileşeninde metin gömer	stable	2.1.0

Sağlayıcı fabrikası, bir “ortamdan” giriş noktası ve açık bir “oluştur” giriş noktası açığa çıkarır. Ana anahtar yapılandırma değeri, yerel sağlayıcıda hassas olarak işaretlenir. Yetkili parametre ve tür sözleşmesi, nextpdf/enterprise paketinin yayımlanmış API referansıdır; sözleşme olarak bu sayfayı değil, o referansı esas alın.

Kod örneği — hızlı başlangıç

composer require nextpdf/core
composer require nextpdf/enterprise:^3

Build the local KMS provider and read key metadata

use NextPDF\Enterprise\Accelerator\KmsProviderFactory;

// Selects the provider from environment configuration; defaults to the
// local HKDF-based provider. Supply the root key through your secret
// manager, never from source or logs.
$provider = KmsProviderFactory::fromEnvironment();

$key = $provider->getEncryptionKey('collection-1');
// $key is metadata only: key id, version, algorithm, provider name.

Kod örneği — üretim

Rotate a collection key, then re-encrypt collection data

use NextPDF\Enterprise\Accelerator\KmsProviderFactory;

$provider = KmsProviderFactory::fromEnvironment();

$rotated = $provider->rotateKey('collection-1');
// The version advanced. Re-encrypt the collection's data files with the
// new key version. The provider returns metadata only; it never returns
// raw key bytes.

Ortam değişkeni adları, açık yapılandırma anahtarları ve istisna türleri Accelerator derinlemesine referansında belgelenmiştir.

Uç durumlar ve tuzaklar

• Yerel KMS sağlayıcısı, en az 32 bayt uzunluğunda onaltılık olarak kodlanmış bir ana anahtar gerektirir. Daha kısa veya onaltılık olmayan bir değer, oluşturma sırasında türlenmiş bir bağımsız değişken istisnası yükseltir.
• Karşılık gelen entegrasyon kurulu olmadan bir bulut sağlayıcı adı seçmek, eksik bağımlılığı adlandıran türlenmiş bir yapılandırma hatası yükseltir.
• Bilinmeyen bir sağlayıcı adı, desteklenen adları listeleyen türlenmiş bir hata yükseltir.
• GPU yardımcı bileşeni, CPU’ya geri döndüğünde düşürülmüş bir mod bildirir. GPU iş hacmine bağımlıysanız o alanı denetleyin.
• Gömme modeli ilk istekte yüklenir; ilk istek zaman aşımını buna göre boyutlandırın.

Performans

Yerel anahtar türetme, sabit maliyetli bir HKDF işlemidir. Hiçbir harici hizmetle iletişim kurmaz. Bir GPU gömme isteği, yardımcı bileşene bir yerel gidiş-dönüş artı model çıkarım süresi ekler. İlk istek ayrıca tek seferlik model yükleme maliyetini de öder. CPU yedeği doğrudur ancak aynı küme için GPU yolundan daha yavaştır.

Güvenlik notları

• Bir KMS sağlayıcısı, ham anahtar baytları değil, anahtar meta verisi döndürür. Şifreleme anahtarı sonucu değer nesnesi hiçbir zaman anahtar materyalini taşımaz.
• Yerel sağlayıcı ana anahtarı, hassas bir yapıcı parametresidir. Günlüğe kaydedilmez ve serileştirilmez.
• Yerel sağlayıcı hiçbir harici hizmetle iletişim kurmaz. Türetme deterministik ve süreç içidir.
• AES-GCM kullanımı, NIST SP 800-38D §5 uyarınca her anahtar için benzersiz bir başlatma vektörü gerektirir.

Veri yerleşimi ve PII azaltmaları

Yerel KMS sağlayıcısı süreç içinde çalışır ve hiçbir harici hizmetle iletişim kurmaz; yerel anahtar türetme için hiçbir anahtar materyali ve hiçbir belge içeriği ana makineden ayrılmaz. GPU yardımcı bileşeni, gömülecek metni yerel bir istek üzerinden alır; ilgisiz belge içeriği almaz. Yapılandırıldığında bir bulut KMS sağlayıcısı, seçtiğiniz bulut sağlayıcısıyla iletişim kurar; o sağlayıcının yargı yetkiniz için veri yerleşimi duruşunu inceleyin.

Güvenli telemetri ve günlük temizleme

Yerel sağlayıcı ana anahtarı, hassas bir yapıcı parametresidir ve günlüklerin ile serileştirmenin dışında tutulur. Ana anahtarı, türetilmiş anahtarları veya sağlayıcı kimlik bilgilerini kendi uygulama günlüklerinize eklemeyin. Günlükleme ve izleme politikanızda tüm anahtar materyalini bir gizli olarak ele alın.

Tehdit modeli

Sağlayıcı, anahtar baytları değil meta veri döndürür; bu nedenle bir meta veri sızıntısı anahtar materyalini açığa çıkarmaz. Yerel sağlayıcının güvenliği, yapılandırılmış ana anahtarın gizliliğine bağlıdır. Bir bulut sağlayıcısının güvenliği, o sağlayıcıya ve yapılandırmanıza bağlıdır. Anahtar koruması; KMS’ye veya ana anahtar gizliliğine, dağıtıma ve operatöre bağlıdır — yalnızca bu yazılıma değil. Dağıtım sınırı bölümüne bakın.

Uygunluk

• Veri şifreleme anahtarı sürümü ve döndürme yaşam döngüsü, NIST SP 800-57 Part 1 Rev.5 §4 ile hizalanır.
• Anahtar koruma sorumluluğu, NIST SP 800-57 Part 1 Rev.5 §5.5.2 ile hizalanır.
• AES-GCM başlatma vektörü benzersizliği, NIST SP 800-38D §5 ile hizalanır.

Her normatif kaynak başka sözcüklerle ifade edilmiştir. Bu sayfada hiçbir normatif metin yeniden üretilmez. Bu sayfa, anahtar yönetimiyle ilgilidir.

FIPS modu davranışı

Yerel sağlayıcının HKDF türetmesi SHA-256 kullanır. Anahtar meta verisinde kaydedilen şifreleme algoritması AES-256-GCM’dir. Uygulama, FIPS doğrulamalı bir kriptografik sağlayıcıya karşı çalıştığında bu ilkeller, o doğrulanmış sınır içinde çalışır. Sağlayıcı fabrikasının kendisi, sağlayıcıyı seçer ve oluşturur; kriptografik sınırı sertifikalandırmaz.

NextPDF Enterprise, FIPS doğrulamalı bir kriptografik modül değildir ve hiçbir FIPS sertifikasyon iddiasında bulunmaz. Yalnızca FIPS doğrulamalı bir kriptografik sağlayıcıyla veya FIPS doğrulamalı bir KMS ile yapılandırıldığında FIPS uyumlu bir modda çalışır.

Sürüm sınırı

GPU gömme yardımcı bileşeni ve KMS sağlayıcı fabrikası yalnızca nextpdf/enterprise paketinde sunulur. NextPDF Pro, imzalama stratejileri için KMS entegrasyonu sağlar (AWS KMS, GCP Cloud KMS, Azure Key Vault) ancak Enterprise KMS sağlayıcı fabrikasını ya da GPU gömme yardımcı bileşenini sağlamaz. Dahilî yardımcı bileşen taşıması ve dahilî gömme işlem hattı sınıfları, genel yüzeyin kapsamı dışındadır ve burada yeniden üretilmez.

Pro yedeği

NextPDF Pro, bulut KMS imzalama stratejileri sağlar — KMS imzalama anahtarını tutar ve Pro, imzalı öznitelikler özetini sağlayıcıya gönderir. Bu bir imzalama entegrasyonudur. Bu, Enterprise koleksiyon düzeyi veri şifreleme anahtarı sağlayıcı fabrikası değildir ve GPU gömme yardımcı bileşeni değildir. Pro hızlandırma yüzeyi için Accelerator — NextPDF Pro sayfasına bakın.

Core yedeği

NextPDF Core’un hiçbir GPU gömme yardımcı bileşeni ve hiçbir KMS sağlayıcı fabrikası yoktur. Gömme ve koleksiyon düzeyinde anahtar yönetimi, yalnızca Enterprise’a özgü özelliklerdir.

Enterprise sınır notu

GPU yardımcı bileşeni taşıması, gömme modeli tanımlayıcısı ve dahilî işlem hattı sınıfları yalnızca davranış düzeyinde açıklanmıştır. Dahilî taşıma istemcisi, dahilî kapsam belirteçleri ve dahilî işlem hattı bileşimi, genel yüzeyin kapsamı dışındadır ve burada yeniden üretilmez.

Dağıtım sınırı

NextPDF Enterprise, bir KMS ile bütünleşir veya yapılandırılmış bir ana anahtar gizliliğinden anahtar türetir. O ana anahtar gizliliğini ya da bulut KMS anahtarını kendisi saklamaz veya güvenliğini garanti etmez. Anahtar güvenliği; KMS’ye veya ana anahtar gizliliğine, dağıtıma ve operatöre bağlıdır — yalnızca NextPDF Enterprise uygulamasına değil. Operatör; ana anahtar sağlama, gizli saklama, KMS yapılandırması ve döndürme zamanlamasından sorumludur. Anahtar koruma sorumluluğu, NIST SP 800-57 Part 1 Rev.5 §5.5.2’yi izler. NextPDF Enterprise, bu belgelerde KMS kimlik bilgisi akışlarını veya ana anahtar işleme dahilîlerini açığa çıkarmaz.

Hukuki uyumluluk sınırı

Bu sayfa, anahtar yönetimiyle ilgilidir. FIPS modu ifadesi, bir sertifikasyon ve bir hukuki görüş değil, bir uyumluluk ifadesidir. Düzenleyici yükümlülükleriniz için kendi uyumluluk ve hukuk danışmanlarınıza başvurun.

Yayımlama sınırı

Bu sayfa yalnızca dışarıdan gözlemlenebilir davranışı ve desteklenen genel API yüzeyini belgeler. Dahilî ad alanı yolları, yardımcı sınıflar, mekanizma tabloları, runbook dosya adları ve bilet önekleri kapsam dışıdır.

Davranış sözleşmesi

• Sağlayıcı fabrikası, sağlayıcıyı yapılandırmadan seçer ve sağlayıcı sözleşmesini karşılayan bir sağlayıcı döndürür.
• Bir sağlayıcı, değişmez anahtar meta verisi döndürür ve hiçbir zaman ham anahtar baytları döndürmez.
• Bir döndürme çağrısı anahtar sürümünü ilerletir ve yeni meta veriyi döndürür; çağıran koleksiyon verilerini yeniden şifreler.
• GPU yardımcı bileşeni, CPU yedeğinde düşürülmüş bir mod bildirir ve kullanılamadığında türlenmiş bir istisna yükseltir.

Ayrıca bakınız

• Accelerator referansı — NextPDF Enterprise
• Security — NextPDF Enterprise
• Intelligence — NextPDF Enterprise
• Accelerator — NextPDF Pro
• KMS · DEK · HKDF — sözlük terimleri.