概述
明文密钥散落在代码、配置与 CI 设置中，范围不清就无从彻底清理。先盘点全量范围，把每个密钥迁入管理器并在运行时引用、迁移时即轮换，最后删除明文副本并用扫描防止回流，才能闭合暴露面。
关键步骤
- 盘点代码、配置与 CI 设置中的密钥。
- 把密钥存入管理器并在部署时引用。
- 迁移每一把密钥时同步轮换。
- 删除明文副本并加入扫描以发现新增。
验证
- 仓库与配置扫描不再发现明文密钥。
- 应用在运行时从管理器解析全部密钥。
- 已迁移密钥均已轮换。
- 迁移清单有记录。
决策点
迁移时应同步轮换以立即作废已泄露副本；宜逐应用推进，便于验证运行时解析并逐个回退。
适用范围
本条目围绕「密钥管理器迁移工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
建议在正式环境落地前先在预发或隔离环境演练一遍，把关键观测指标与负责人一并记录，确保出现异常时能快速定位并恢复。
aws secretsmanager create-secret --name app/db --secret-string file://secret.json
# app reads at runtime, not from a committed file
export DB_URL=$(aws secretsmanager get-secret-value --secret-id app/db --query SecretString --output text)