| 优先方案 | 实例配置文件、工作负载身份、临时安全令牌 |
|---|---|
| 兜底轮换 | 双密钥并行：建新凭据 -> 应用切换 -> 观察 -> 禁用旧凭据 -> 删除 |
| 监控 | 使用记录与调用来源核查 |
轮换步骤（文本）
轮换步骤（文本）
1) 创建新凭据并授予同权限
2) 灰度切换到新凭据
3) 观察错误率与调用来源
4) 禁用旧凭据并继续观察
5) 确认无依赖后删除旧凭据轮换要覆盖缓存与硬编码副本；只更新配置文件可能遗漏镜像与环境变量中的副本。
本包目录（305 条）
加密算法基础95 条TLS 与 HTTPS60 条证书与 PKI30 条OpenSSL 实战30 条证书运维排查49 条
密钥管理41 条
- 密钥轮换策略
- 私钥文件权限基线
- 私钥保护层次
- KMS 密钥管理服务
- SSH 密钥管理
- HSM 硬件安全模块
- 凭据管理平台
- 证书密钥零停机轮换
- 密钥生命周期管理
- 信封加密（KEK/DEK）
- 代码库密钥扫描
- 密钥备份与恢复
- 密钥用途分离
- 密钥层次结构
- 软件密钥库与 HSM 对比选型
- 私钥口令处理规范
- API Key 与客户端证书对比
- 后量子密码迁移准备
- 密钥生成与随机性来源
- 云 KMS 信封加密落地
- 云凭据轮换
- 容器中的密钥注入
- 密钥生成仪式与双人控制
- 密钥派生与域分离
- 密钥操作审计日志
- 密钥销毁
- 签名服务与密钥隔离
- 密钥与证书联合盘点
- 根密钥离线保护
- 密码敏捷性（crypto agility）
- 密钥吊销与证书吊销的区别
- 短时凭据（JIT）
- 密钥托管（escrow）
- HSM 高可用与备份
- SSH Agent 转发风险
- 硬件令牌与 PIV 私钥
- 密钥使用监控
- 备份加密与密钥分离
- 删除与安全擦除的区别
- TLS 私钥放入 HSM 的思路
- 密钥安全传输
云凭据轮换
云访问密钥、数据库口令与应用凭据应优先改为短期凭据（实例角色、工作负载身份）；无法替代时按周期轮换并监控使用情况，避免长期静态密钥。
易错点
- 创建新密钥后忘记禁用旧密钥
- 只在应用配置中替换，忽略镜像内硬编码副本
数据来源与参考
- AWS IAM 官方文档（访问密钥轮换）
- 云安全责任共担模型说明