采用token验证的方式对接入的租户业务应用系统进行鉴权，这个行为算设备层的身份鉴别还是应用层的身份鉴别呢？

我理解，对于密码支撑平台来说，应该是应用层呀，这是它的业务
对于租户系统的报告，密码支撑平台也能算应用层吗？之前一直按设备层考虑的，类似电子签章系统
对于租户来说，感觉这两个层面都要考虑，如果仅仅是提供服务，就应该算到应用层
如果提供的是设备级的，其配置运维日志等应该算到设备计算层，涉及到对外提供服务的，应该算到应用层类比IaaS PaaS和Sa aS
如果密码支撑平台做过密评的，应该可以复用报告内容