云 API 密钥泄露风险是什么
云 API 密钥（AK/SK）与各类长期令牌是云上暴露面的高价值目标：它不依赖网络可达，只要泄露就能从任意位置调用云 API，直接读写对象存储、创建计算资源、访问数据库。泄露路径也很多样——提交到代码仓库、打进镜像层、写在配置文件与流水线变量里、留在聊天记录与文档里。因此治理要覆盖「检测」与「结构替换」两层：一边用扫描工具找出已泄露的凭据，一边用角色与临时凭据替代长期密钥，从源头减少需要保护的秘密数量。
基本信息
| 主要对象 | 云平台 AK/SK、服务账号令牌、访问密钥与长期令牌 |
|---|---|
| 泄露渠道 | 代码仓库、镜像层、配置文件、CI 变量、文档与聊天记录 |
| 检测手段 | 仓库与镜像密钥扫描、云审计日志异常调用核查 |
| 结构性治理 | 用角色与临时凭据替代长期密钥，缩短有效期 |
| 保留密钥的要求 | 最小权限、定期轮换、调用监控与泄露应急预案 |
| 处置顺序 | 先吊销凭据，再清理泄露源，最后复盘改进 |
典型泄露场景
- 开发人员为调试方便把密钥写进代码，随后提交到远端仓库
- 构建镜像时把凭据打进镜像层，任何能拉取镜像的人都可读取
- CI 流水线变量可见范围过大，非相关成员也能查看
- 离线文档、工单记录与聊天群里粘贴了密钥内容
- 多环境共用同一组密钥，测试环境泄露即影响生产
- 离职人员持有的密钥未回收，长期有效
自查与治理动作
自查与治理动作
1. 代码与镜像扫描：gitleaks/trufflehog 等工具定期跑（见下条）
2. 云审计日志：核对密钥的调用来源 IP 与时间是否异常
3. 治理：能用角色/实例身份的，删除长期密钥
4. 必须保留的：最小权限 + 定期轮换 + 泄露应急预案
5. 监控：密钥调用异常（新地域、新 IP、失败率激增）告警
6. 回收：人员变动与项目下线时同步禁用相关密钥gitleaks 扫描示例
gitleaks 扫描示例
gitleaks detect --source ./repo -v --report-format json --report-path leak.json
# 扫描结果按『文件+行号』定位，优先处理已提交到远端的记录
# 仓库历史里的提交也要扫：只扫当前分支会漏掉已删除但仍可回滚的内容
# 镜像侧可用 trivy 等工具做密钥与敏感文件扫描凭据类型与治理口径
| 凭据类型 | 风险特征 | 治理口径 |
|---|---|---|
| 长期 AK/SK | 有效期长，泄露后长期可用 | 优先删除，改用角色与临时凭据 |
| 服务账号令牌 | 常嵌在配置与集群中 | 缩短有效期并限制权限范围 |
| CI 流水线密钥 | 可见范围可能过大 | 最小可见范围，按需下发 |
| 数据库口令 | 写在配置与脚本中 | 集中托管并按周期轮换 |
密钥泄露的处置顺序是『先吊销再调查』：先保住入口，复盘可以之后进行。