| 触发条件 | 周期到期、人员变动、疑似泄露、算法迁移 |
|---|---|
| 数据密钥 | 新写入用新版本，历史数据保留旧版本解密能力 |
| 协议密钥 | 轮换需重签证书并同步依赖方（固定、白名单、信任库） |
生成新密钥对（示意）
生成新密钥对（示意）
openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-256 -out new.key
openssl genpkey -algorithm ED25519 -out new-ed.key轮换失败常见于依赖方未同步更新，因此要预留新旧并存的过渡窗口并逐项验证。