Agent Skills
返回列表
🔒

HashiCorp Vault 密钥轮换代理

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，将 @user_3c6cb52e/hashicorp-vault-secrets-rotation-agent-2 安装到当前 AI 助手。

技能介绍

要解决什么问题

现代系统要访问的密钥越来越多：数据库凭据、外部服务的 API Key、服务间通信凭据。如果依赖长期静态密钥，一旦泄漏无法快速止血；靠人工轮换，又容易漏改、改错，运维负担重。这个技能把轮换交给 Vault 的动态密钥引擎自动完成。

核心能力与工作方式

  • 租约管理：通过 Vault API 管理数据库凭据等动态密钥的 lease，到期自动失效
  • 证书续期：处理 PKI 引擎签发的证书续期，避免证书过期导致服务中断
  • 临时令牌：对接 AWS STS 生成短期凭据，按 TTL 策略约束生命周期
  • 批量吊销：不仅能撤销单个密钥，还能撤销一棵密钥树，控制泄漏影响范围

整体链路大致是：应用请求凭据 → Vault 动态引擎签发带 TTL 的密钥 → 代理跟踪租约 → 到期或异常时执行轮换或吊销 → 应用重新获取新凭据。过程中无需人工修改配置。

适用边界与注意点

  • 前提是目标系统启用了对应的动态密钥引擎，静态引擎场景无法受益
  • 需要先理清“谁在访问哪些密钥”，否则权限模型容易失控
  • 测试流程依赖 Docker
  • 资料整理自上游 Vault 文档与 GitHub 仓库，生产落地前建议对照官方文档逐一验证

使用场景

  • 数据库凭据即将到期或疑似泄漏，需要在不重启服务的前提下自动吊销旧凭据并签发新凭据。
  • 内部服务使用的 PKI 证书临近过期，需要批量续期并把新证书更新到各业务实例。
  • 应用需要临时访问 AWS 资源，要求按固定 TTL 生成 STS 令牌并在到期前自动轮换。
  • 某服务凭据泄漏后需要快速吊销关联的整棵密钥树，防止横向扩散到其他服务。

适合人员

  • 负责数据库凭据生命周期的运维工程师，希望用自动轮换替代手工改密，减少漏改和误改。
  • 负责服务间调用治理的平台工程师，需要为不同服务配置差异化的 TTL 和吊销策略。
  • 处理凭据泄漏事件的安全工程师，需要在几分钟内批量吊销关联密钥树并验证结果。
  • 设计云上临时凭据方案的架构师，需要将 STS 令牌生成与轮换接入现有部署流程。