密钥生命周期管理：创建、启用、禁用、删除、轮换的最佳实践
聊到云上密钥，我最常被问到的问题是：“密钥创建好了是不是就不管了？”其实正好相反。密钥从生到死，每个阶段都有坑。我习惯把密钥的生命周期比作一个员工的入职到离职——入职要审批、在职要考核、离职要销户。少了哪一步都可能出问题。
创建密钥：起步就要规范
创建密钥看似简单，点几下鼠标就好。但我在项目中踩过最多的坑，恰恰是在这个起点埋下的。
举个例子，有家客户在创建 KMS 密钥时选了“对称加密”，后来业务需要非对称签名，只能重新创建。为什么？因为密钥类型创建后不可更改。所以创建前一定想清楚：你的场景是加密解密，还是签名验签？
alias/prod/db-encryption-key-2024 这样的格式。把环境、用途、年份都带进去。别用“key1”、“test”这种名字——三个月后你完全不知道它用来干嘛的。
还有，创建时务必开启“自动轮换”选项（如果服务商支持）。AWS KMS 和阿里云 KMS 都支持每年自动轮换。省心，而且安全。
| 决策项 | 建议值 | 原因 |
|---|---|---|
| 密钥用途 | 对称加密 / 非对称签名 | 创建后不可更改 |
| 别名命名 | 环境-用途-日期 | 方便检索和权限管理 |
| 自动轮换 | 开启 | 减少手动操作风险 |
| 密钥管理员 | 最小权限原则 | 防止误操作或滥用 |
启用与禁用：控制好使用状态
密钥启用通常是默认行为，但禁用这个话题值得多说两句。
什么时候要禁用？举个例子：你发现一个老的加密密钥被用于非生产环境，而生产环境不应该再用它了。这时不要急着删除——先禁用。禁用后，所有试图用这个密钥解密的操作都会失败，但你还可以在审计日志里看到谁在尝试。
禁用操作本身也有讲究。我建议在禁用前，先检查 CloudTrail 或审计日志里最近 7 天还有没有这个密钥的调用记录。如果有，说明还有人在用。
密钥轮换：别等过期再换
轮换是密钥生命周期里最容易被忽视的环节。说白了，就是定期换把新锁，同时旧锁还能开旧门。技术上，KMS 服务通常支持两种轮换策略：自动和手动。
- 自动轮换：服务商每年生成一个新密钥版本，旧版本保留可解密。适合绝大多数场景。
- 手动轮换：你自己创建一个新密钥，然后把引用地址改过来。适合需要控制轮换时机的场景，比如合规要求季度轮换。
有个经验分享给你：如果你用的是 AWS KMS 的自动轮换，记住它不会自动重新加密已有数据。新版本只用于新写入的数据。旧数据还是用旧版本解密。这没问题，因为 KMS 会记住哪个版本加密了哪个数据块。
删除密钥：最后的告别
删除密钥是唯一不可逆的操作。一旦删除，所有用这个密钥加密的数据都将永久无法解密。嗯，这点怎么强调都不过分。
大多数云服务商都设计了“等待期”或“计划删除”功能。比如 AWS KMS 要求你设定 7~30 天的等待期。这期间密钥处于“待删除”状态，你可以随时取消。我觉得这个设计非常人性化。
我在项目中见过最危险的误操作是：有人用脚本批量删除了 200 多个密钥，其中 5 个还在使用。好在有等待期，最后全部恢复回来了。从那以后，我对所有密钥删除操作都要求双重确认——一个运维发起，一个安全负责人审批。
| 检查项 | 操作 |
|---|---|
| 确认无新数据写入 | 检查最近7天日志 |
| 确认旧数据已迁移 | 用新密钥重新加密存储 |
| 通知所有相关团队 | 邮件 + 内部通讯工具 |
| 设置等待期 | 至少7天，建议30天 |
| 删除后验证 | 确认密钥不在列表 |
审计追踪：让每个操作都有据可查
最后聊聊审计。密钥的每次创建、启用、禁用、轮换、删除，都应该在审计日志里留下记录。为什么？因为一旦出了安全事故，你第一个要回答的问题就是：密钥是什么时候被谁动了？
我个人会在密钥管理服务上开启“密钥操作日志”，并将其集中投递到日志分析平台。这样我可以设置告警：比如异常时间段的密钥删除操作，或者非管理员角色的密钥禁用操作，都能第一时间发现。
eventName = "DisableKey" 或 eventName = "ScheduleKeyDeletion" 就能快速定位所有危险操作。建议做成定期巡检脚本，每周跑一次。
记得有一次，我在审计日志里发现某个密钥被禁用了三次又启用了三次。联系对应团队一问，原来是他们在测试自动化脚本，忘了关掉。虽然没造成事故，但暴露了流程漏洞——后来我们加了一个“密钥操作需要审批”的规则。
# 示例：使用 AWS CLI 查询密钥禁用事件
aws cloudtrail lookup-events \
--lookup-attributes AttributeKey=EventName,AttributeValue=DisableKey \
--start-time 2024-01-01T00:00:00Z \
--end-time 2024-12-31T23:59:59Z \
--query "Events[*].{Time:EventTime,User:Username,Key:Resources[0].ResourceName}" \
--output table这个命令能帮你快速定位所有密钥禁用操作，配合 ScheduleKeyDeletion 和 EnableKey，基本就能覆盖密钥生命周期里的所有敏感操作了。