密钥生命周期管理
密钥生命周期覆盖生成、分发、使用、轮换、归档与销毁六个阶段，每个阶段都应有责任人、系统记录与审批点。管理不善的典型表现是「无主密钥」：没人说得清某个密钥是谁创建的、用途是什么、什么时候该轮换。把盘点与登记做成例行工作，比事后靠人工回忆可靠得多，也更容易通过合规检查。
基本信息
| 生成 | 受控环境与标准接口，记录用途与责任人 |
|---|---|
| 分发 | 受控渠道与权限控制，避免即时通讯工具传递 |
| 使用 | 最小授权、可审计、禁止跨用途复用 |
| 轮换与归档 | 按策略轮换；归档密钥仅用于验证历史签名或解密历史数据 |
| 销毁 | 有可证明记录的销毁流程 |
| 盘点 | 定期清点密钥资产，识别无主与超期密钥 |
典型使用场景
- 建立密钥台账，明确每个密钥的用途与负责人
- 人员变动时的资产交接与权限回收
- 合规审计前梳理密钥清单与轮换记录
- 识别长期未轮换的密钥并制定替换计划
- 归档密钥与在用密钥的隔离管理
盘点密钥与到期情况
盘点密钥与到期情况
# 列出密钥文件及其修改时间
find /etc /opt -type f -name '*.key' -printf '%TY-%Tm-%Td %p\n' 2>/dev/null | sort
# 列出证书文件，逐个核查有效期
find /etc -name '*.crt' -printf '%p\n' 2>/dev/null | head
# 对重点证书核对剩余有效期
openssl x509 -in /etc/ssl/site.crt -noout -enddate阶段与常见问题
| 阶段 | 要点 | 常见问题 |
|---|---|---|
| 生成 | 受控环境与标准接口 | 手工生成且不留记录 |
| 分发 | 受控渠道与权限控制 | 通过聊天工具传递 |
| 使用 | 最小授权与审计 | 跨用途复用同一密钥 |
| 轮换 | 按策略执行并设到期提醒 | 无到期管理，长期不换 |
| 归档与销毁 | 隔离存放与销毁记录 | 归档密钥与在用密钥混放 |
归档密钥应与在用密钥隔离存放并限制访问，只在验证历史签名或解密历史数据时使用；确认不再需要后进入销毁流程并留存记录，避免「永久保留」成为默认状态，那会让权限管理越来越难以收口。