HashiCorp Vault 密钥轮换代理

问题：密钥不会自己轮换

现代系统依赖大量凭证：数据库账号、外部 API key、服务间通信凭据等。人工轮换常带来长期有效权限、证书临期才发现、轮换窗口影响业务等问题。Vault 可以签发有期限的秘密，但仍需流程来申请、续期、撤销和监控。

技能如何工作

这个代理把 Vault HTTP API 包装成可执行的轮换流程：

• 动态数据库凭证：通过 Vault database secrets engine 按需获取短期账号，减少长期共享密码。
• PKI 证书续签：处理证书到期前的续签，降低服务因证书过期中断的风险。
• 租约生命周期管理：关注 TTL、租约状态和到期时间，为申请、续签与撤销提供依据。
• 可撤销的秘密集合：在支持的模型里，不只能处理单个 secret，还可处理一组关联的秘密。

适用边界与注意点

它适合已把 Vault 作为密钥入口、希望自动化轮换的环境。使用前需确认数据库/PKI 引擎已启用，代理只持有最小必要权限。动态凭证要求应用能重建连接，连接池和本地缓存要能感知旧凭证失效。证书续签后还需服务真正加载，不能假设写入即生效。TTL 监控主要用于发现风险和触发动作，不能替代资源本身的过期保护；也不能自动回答“谁访问了什么”，仍需 Vault 审计、策略和变更流程配合。