如何用工具轮换密钥？

本文目录导读：

1. 核心原则
2. 常用工具与场景
3. 轮换策略最佳实践
4. 安全注意事项
5. 示例自动化脚本（Bash + AWS CLI）

核心原则

1. 自动化：手动轮换容易出错,应使用脚本或专用工具。
2. 多版本支持：系统需能同时处理新旧密钥,直到所有数据完成转换。
3. 审计与日志：记录每次轮换的时间、密钥ID和操作人。

常用工具与场景

云服务密钥管理服务（KMS）

工具：AWS KMS、Azure Key Vault、Google Cloud KMS。
方法：

• 自动轮换：大多数云KMS支持按时间（如每90天）自动创建新密钥版本，旧密钥仍可解密旧数据。
• 手动轮换：调用API或CLI创建新密钥，然后更新应用程序配置指向新密钥。
  示例（AWS CLI）：

  # 创建新密钥版本（自动启用）
  aws kms create-key --description "Rotated key 2024-12"
  # 更新服务角色策略引用新密钥ARN

数据库加密

工具：TDE（透明数据加密）、数据库内置密钥轮换功能（如MySQL、PostgreSQL的pg_rotate_logfile）。
方法：

1. 生成新主密钥。
2. 使用新密钥重新加密表空间或数据文件（需数据库支持在线重加密）。
3. 更新密钥存储（如HashiCorp Vault）中的引用。
   示例（PostgreSQL + pg_tde扩展）：

   -- 轮换主密钥
   SELECT pg_tde_rotate_main_key('new_master_key_id');

应用程序密钥（API密钥、JWT签名密钥）

工具：HashiCorp Vault、AWS Secrets Manager、Kubernetes External Secrets。
方法：

• 多密钥轮换：在Secrets Manager中保存多个密钥版本（如current和previous），应用先验证旧密钥，再切换至新密钥。
• 无感切流：使用“金丝雀发布”逐步替换环境中的密钥版本。
  示例（Vault CLI）：

  # 写入新密钥版本（保留历史）
  vault write secret/app-key current=NEW_API_KEY previous=OLD_API_KEY
  # 应用读取最新版本并刷新缓存

证书与TLS/SSL

工具：certbot（Let's Encrypt）、ACM（AWS Certificate Manager）、OpenSSL。
方法：

• ACM会自动续签并轮换证书，无需手动干预。
• 手动轮换：生成新CSR→获取新证书→更新Web服务器配置→重启服务。
  示例（certbot自动续签）：

  certbot renew --quiet --post-hook "systemctl reload nginx"

硬件安全模块（HSM）

工具：CloudHSM、Thales CipherTrust。
方法：

1. 在HSM中创建新密钥对（如RSA 2048→4096）。
2. 将新密钥导出到应用程序信任存储。
3. 设置密钥使用策略：新数据仅用新密钥加密,旧数据逐步重加密。

轮换策略最佳实践

安全注意事项

• 密钥生命周期管理：轮换后旧密钥应标记为“退役”，但保留至少一个周期（避免无法解密备份数据）。
• 最小权限原则：只有密钥管理服务有权限创建/轮换密钥，应用仅能使用密钥（无导出权限）。
• 测试验证：在非生产环境演练轮换流程,确保重加密操作不会导致服务中断。

示例自动化脚本（Bash + AWS CLI）

#!/bin/bash
# 轮换S3存储桶的KMS密钥
OLD_KEY_ARN=$(aws kms list-keys --query 'Keys[?KeyState==Enabled].KeyArn' --output text | tail -1)
NEW_KEY_ID=$(aws kms create-key --description "S3-Bucket-Rotated-$(date +%Y%m%d)" --query KeyMetadata.KeyId --output text)
# 更新S3存储桶加密配置
aws s3api put-bucket-encryption --bucket my-bucket \
  --server-side-encryption-configuration '{"Rules":[{"ApplyServerSideEncryptionByDefault":{"SSEAlgorithm":"aws:kms","KMSMasterKeyID":"'$NEW_KEY_ID'"}}]}'
# 停用旧密钥（保留7天后删除）
aws kms disable-key --key-id $OLD_KEY_ARN
sleep 7d
aws kms schedule-key-deletion --key-id $OLD_KEY_ARN --pending-window-in-days 7

• 自动化优先：使用云KMS、Vault、ACM等工具实现“零手工”轮换。
• 兼容性：轮换时确保旧密钥仍能解密已存在数据，避免数据不可用。
• 监控告警：设置密钥过期前30天的告警（如CloudWatch Events）。

具体实现需根据你的技术栈（云平台、数据库类型、编程语言）选择对应工具，并遵循“先测试、后生产”的原则。

标签： 加密管理