凭据要满足的四个属性
好的设备凭据应具备四个属性：按台唯一，泄露只影响一台设备；权限最小，只能访问自己的资源；有效期有限，过期后自动失效；可吊销，异常时能立即停止使用。共享口令与永不失效的全局密钥通常一条都不满足，一旦泄露，唯一的处置手段是给全部设备换凭据。
凭据类型对照
| 类型 | 特点 | 适用 |
|---|---|---|
| 共享口令 | 所有设备相同，无法区分个体 | 仅限调试，不建议用于生产 |
| 按台密钥 | 每台独立，便于逐台吊销 | 生产环境的基础要求 |
| 短期令牌 | 有效期短，需定期换取 | 算力有限或移动场景的设备 |
| 身份换取的令牌 | 由设备身份换取，权限可配置 | 与证书体系配合使用 |
| 双向认证证书 | 身份绑定到密钥对 | 安全要求高或需逐台吊销的场景 |
典型使用场景
- 设备首次接入：用一次性凭据完成注册并换取长期身份
- 凭据轮换：定期更换令牌，缩短泄露后的有效窗口
- 设备报废与转售：吊销身份并回收标识，避免被冒用
- 服务侧调用：平台内部服务之间使用独立凭据，避免与设备凭据混用
密钥材料的产生、存储与使用应尽量留在受保护的区域，避免明文经过应用代码与日志；调试日志里的凭据泄露是最常见的入门级事故。
凭据写进固件、镜像或代码仓库后，一旦泄露只能通过升级逐台更换，代价极高；凭据不应硬编码在可分发的产物中。
运维要求
凭据管理需要几条固定流程：签发与登记、定期轮换、异常吊销、报废设备回收。缺少任何一条，授权体系就只在正常情况下成立，事故发生时没有可用的处置手段。