01
证书轮换概述
为什么需要证书轮换？证书生命周期管理的基本概念，建立轮换意识与核心框架。
基础生命周期
02
PKI体系基础
公钥基础设施（PKI）的核心组件、证书链与信任模型，理解信任锚点。
PKI信任链
03
证书类型与格式
X.509证书结构、PEM/DER/PKCS#12等格式详解，编码与存储选型。
X.509编码
04
轮换策略设计原则
最小权限原则、零信任架构下的轮换策略，从设计源头保障安全。
零信任策略
05
轮换频率与触发条件
基于时间的轮换、基于事件的轮换（泄露、过期），制定合理节奏。
频率事件驱动
06
自动化轮换架构
CI/CD集成、Kubernetes证书管理、Service Mesh证书轮换，自动化流水线。
自动化K8s
07
证书发现与清单管理
如何构建证书资产清单、CMDB集成，实现全量可观测。
资产CMDB
08
轮换前的风险评估
兼容性测试、灰度发布策略、回滚计划，降低变更风险。
风险灰度
09
TLS/SSL证书轮换
Web服务器（Nginx/Apache）证书更新实战，零停机替换技巧。
TLSWeb
10
mTLS证书轮换
微服务间双向TLS证书轮换策略，保障服务间身份安全。
mTLS微服务
11
Kubernetes证书轮换
kubelet、etcd、API Server证书更新，集群核心组件轮换。
K8setcd
12
云平台证书管理
AWS ACM、Azure Key Vault、GCP Certificate Manager 云原生轮换。
云平台托管
13
内部CA证书轮换
自建CA（EasyRSA/CFSSL）的根证书与中间证书更新，私有信任体系。
内部CA根证书
14
代码签名证书轮换
CI/CD流水线中的代码签名证书管理，保障软件供应链安全。
代码签名CI/CD
15
SSH密钥轮换
主机密钥、用户密钥的定期轮换策略，加固远程访问。
SSH密钥
16
数据库证书轮换
MySQL/TLS、PostgreSQL证书更新，保障数据链路加密。
数据库TLS
17
负载均衡器证书轮换
Nginx Ingress、HAProxy、AWS ALB证书管理，流量入口安全。
负载均衡Ingress
18
证书监控与告警
Prometheus + Grafana监控证书过期时间，提前发现风险。
监控Prometheus
19
轮换脚本开发
Python脚本实现证书自动签发与部署，提升效率。
Python自动化
20
证书轮换的原子性操作
确保轮换过程中服务不中断，事务级变更设计。
原子性高可用
21
多环境证书管理
开发、测试、生产环境的证书隔离与同步，环境一致性。
多环境隔离
22
证书轮换的审计与合规
SOC2、PCI DSS对证书轮换的要求，满足监管审计。
合规审计
23
紧急轮换流程
证书泄露后的应急响应与快速轮换，事件驱动处置。
应急响应
24
证书轮换的自动化测试
集成测试、端到端测试策略，保障轮换质量。
测试E2E
25
证书轮换的文档化
Runbook编写、知识库沉淀，团队可重复执行。
文档Runbook
26
团队协作与通知机制
Slack/邮件通知、值班轮换流程，高效协同。
协作通知
27
证书轮换的常见陷阱
证书链不完整、私钥权限问题、时间同步问题，避坑指南。
陷阱排错
28
案例研究
大型互联网公司的证书轮换实践（如Netflix、Google），经验借鉴。
案例业界
29
未来趋势
Let's Encrypt与ACME协议、证书透明化（CT）、量子安全证书。
ACME量子
30
课程总结与最佳实践
证书轮换的Checklist与持续改进，形成组织能力。
总结最佳实践