凭据轮换是什么
按周期与事件双轨轮换：常规按计划走，泄露、人员变动与合规要求即刻执行。轮换方案要支持新旧凭据并存切换：先加新、再切流量、后停旧，避免停机；轮换后跑连通性验证并吊销旧凭据，全程留审计记录。
基本信息
| 触发 | 定期（如 90 天）、人员变动、疑似泄露、合规要求 |
|---|---|
| 模式 | 双凭据：先加新、再切流量、后停旧（滚动替换） |
| 验证 | 轮换后跑连通性检查；旧凭据确认失效并留审计记录 |
| 台账 | 登记每个凭据的用途、位置、负责人与轮换日期 |
| 排序 | 先轮换影响面最小的，再动共享凭据 |
典型使用场景
- 周期计划：季度批量轮换常规凭据
- 泄露响应：确认暴露后第一时间轮换受影响凭据
- 离职交接：人员变动触发其名下凭据轮换
- 审计准备：按台账补全轮换记录
- 迁移前清理：系统迁移前把陈旧凭据一次性回收
实践要点
- 影响面评估：列出使用方再动手，避免漏改进程
- 分批切换：按实例滚动更新，观察错误率
- 回退预案：切换失败能快速切回旧凭据（在吊销之前）
- 自动化优先：支持 API 轮换的写脚本，减少手工失误
- 演练习惯：首次真实轮换前先在预发演练
双凭据切换顺序
双凭据切换顺序
1. 生成新凭据（旧凭据仍有效）
2. 逐实例更新配置并重启/重载
3. 观察错误率与连接数
4. 确认无旧凭据流量后吊销旧凭据轮换四阶段
| 阶段 | 动作 | 验证点 |
|---|---|---|
| 生成 | 创建新凭据 | 权限与范围核对 |
| 切换 | 逐实例更新 | 错误率与连接数 |
| 观察 | 确认无旧流量 | 流量与日志核对 |
| 吊销 | 停用旧凭据 | 调用失败清零 |
轮换流程要写进 runbook 并演练：演练暴露的问题比首次真实轮换便宜得多。
凭据数量就是轮换成本：能换短时凭据的场景优先改造，长期凭据越少越好。