密钥生成仪式是什么
根密钥这类高风险密钥的生成过程会被设计成一场「仪式」：多人见证、角色分离、全程记录、产物当场备份并封存。目的不是流程好看，而是把单点风险压到最低——没有一个人能独立完成或篡改密钥生成，事后任何一方都无法否认自己参与过。仪式脚本要提前评审并演练，把每一步的预期输出、校验点和异常分支都写清楚；临场发挥是这类操作最常见的失败来源。
基本信息
| 角色划分 | 操作员、见证人、记录人，职责相互分离 |
|---|---|
| 环境要求 | 隔离主机、受控介质、物理访问记录 |
| 产物 | 密钥、CSR 或自签证书、备份分片与仪式记录 |
| 前置准备 | 脚本预先评审并完整演练一次 |
| 记录要求 | 每步的操作人、时间与结果都要落到书面 |
| 后续动作 | 备份分片分散封存，取用需多人审批 |
典型使用场景
- 根 CA 建立：生成根密钥并签发第一个中间证书。
- 代码签名密钥初始化：为发布链路建立可信起点。
- 密钥恢复演练：验证分片重建流程真的可执行。
- 审计响应：向评审方提交完整的仪式记录与产物指纹。
- 人员更替：新任操作员参与一次演练，熟悉流程与分工。
仪式检查单
仪式检查单
1) 核对设备与介质完整性，记录序列号
2) 隔离网络启动操作环境，关闭无关服务
3) 生成密钥并当场校验公钥指纹
4) 备份分片并分散封存，记录存放位置
5) 记录每步操作人、时间与结果，多人签字确认
# 脚本与命令提前评审并在演练环境跑通，避免现场临时调整角色与职责
| 角色 | 职责 | 约束 |
|---|---|---|
| 操作员 | 执行生成、备份与封存动作 | 不得同时担任记录人 |
| 见证人 | 核对每一步是否按脚本执行 | 独立于操作员所在团队更佳 |
| 记录人 | 记录时间、结果与异常 | 记录需可核查，不接受事后补记 |
| 审批人 | 批准仪式方案与分片取用 | 取用需双人以上审批 |
备份分片若集中存放会失去分散保护的意义；分片取用必须多人审批并留痕，否则一次内部威胁就能拿到完整密钥。