| 触发 | 定期（如 90 天）、人员变动、疑似泄露、合规要求 |
|---|---|
| 模式 | 双凭据：先加新、再切流量、后停旧（滚动替换） |
| 验证 | 轮换后跑连通性检查；旧凭据确认失效并留审计记录 |
双凭据切换顺序
双凭据切换顺序
1. 生成新凭据（旧凭据仍有效）
2. 逐实例更新配置并重启/重载
3. 观察错误率与连接数
4. 确认无旧凭据流量后吊销旧凭据轮换流程要写进 runbook 并演练：演练暴露的问题比首次真实轮换便宜得多。
凭据轮换（Rotation）
按周期与事件双轨轮换：常规按计划，泄露/人员变动即刻执行；轮换方案要支持双凭据并存切换，避免停机。
易错点
- 一次性全量替换：服务集体断连，采用滚动双凭据模式
- 轮换无台账：旧凭据散落各处，按依赖清单驱动轮换
数据来源与参考
- NIST SP 800-57（密钥管理通用实践）
- AWS 文档《Rotating credentials》