定期密钥轮换工作流

先重叠，再吊销

定期轮换失败的常见原因，是某个被遗忘的消费者仍在使用旧值。安全模式是让两个版本在有限窗口内同时有效，分批迁移消费者，验证后吊销旧版本。

create v2 -> deploy consumers in batches -> verify v2 -> disable v1 -> monitor

步骤

1. 盘点所有消费者：服务、定时任务、CI 工作流和第三方集成，确认它们从密钥管理器读取，而不是使用烘焙镜像或本地文件。
2. 生成新凭据并保存为新版本，在重叠窗口内保留旧版本有效。
3. 按重要性从低到高分批重启或重新部署消费者，每批后观察认证错误。
4. 确认所有消费者使用新版本后，禁用或删除旧版本，并监控迟到失败。
5. 在轮换日志中记录时间、负责人与证据，安排下一次轮换，并审查发现过晚的消费者。

验证

• 使用旧凭据的测试客户端被拒绝。
• 每个消费者都报告认证成功。
• 错误仪表盘在发布期间没有持续认证失败。
• 轮换日志记录负责人、时间和证据。
• 下一次轮换已排期。

决策点

分布式消费者使用有界重叠窗口；只有所有消费者能同时更新时，原子切换才安全。凭据暴露或可疑使用时，立即吊销并轮换，不要等待计划窗口。

紧急轮换

如果凭据已暴露，立即吊销，必要时接受短暂中断，然后按事故响应流程轮换并更新消费者。计划轮换与紧急轮换共享同一检查清单，但可接受的停机时间不同。