密钥生命周期管理

密钥生命周期覆盖生成、分发、使用、轮换、归档与销毁，每个阶段都应有责任人、系统记录与审批点，避免出现无主密钥与超期密钥。

生成	受控环境与标准接口，记录用途与责任人
使用	最小授权、可审计、禁止跨用途
轮换与归档	按策略轮换；归档密钥仅用于验证历史签名或解密历史数据
销毁	可证明的销毁流程与记录

盘点密钥文件与修改时间（Linux）

find /etc /opt -type f -name '*.key' -printf '%TY-%Tm-%Td %p\n' 2>/dev/null | sort

归档密钥要与在用密钥隔离存放、限制访问，并在不再需要解密历史数据后进入销毁流程。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌