凭据保险库管理器

它解决什么问题

团队落地 HashiCorp Vault 或云厂商凭据服务时，失败通常不发生在「装不起来」，而是策略写得过宽、凭据长期不轮换、审计设备只配了一个、泄露发生后不知道先吊销哪个 token。这份技能把这几类决策固化成可复用的模式：集群形态选型、认证方式搭配、引擎 TTL 策略、轮换编排与泄露处置流程。

核心能力

集群与认证设计

• 部署形态建议 Raft 存储的 HA 集群，配合云 KMS 做 auto-unseal，避免手工 unseal 卡住恢复流程
• 认证方式按身份类型区分：服务间用 AppRole，Pod 用 Kubernetes 服务账户 token，人员用 OIDC 对接 SSO 提供商
• 审计设备建议 file + syslog 双写，Vault 在全部审计设备失效时会直接拒绝请求

轮换编排

按凭据类型给出频率与方法：数据库口令 30 天、API Key 90 天、TLS 证书在到期前 60 天、SSH 用 Vault 签发短时证书、服务 token 24 小时动态生成。数据库轮换走双账户 A/B 切换，API Key 走 overlap window，两者都以零停机为目标。

动态凭据与审计

优先用按需生成、自动过期的动态凭据替代静态密钥，覆盖数据库账号、云 IAM 临时凭证与 SSH 证书。审计部分列出必须记录的事件及保留期，并给出异常信号：新 IP 或 CIDR 来源访问、单路径访问量突增超过基线三倍、非工作时段的人员登录、策略范围外访问、异常长 TTL 的 token。

泄露应急

目标是发现后 15 分钟内控制住：先定位泄露范围，在源头轮换凭据，吊销访问过该凭据的所有 token，再回溯审计日志评估影响面，最后通知相关方并做复盘。Seal 属于最后手段，解开时需确认 KMS 可用并核验活跃 lease 与 token 有效性。

适用边界

• 它处理基础设施层的凭据管理，不负责本地 .env 文件清理与泄露检测
• 三款云服务各有取舍：AWS Secrets Manager 对 RDS 轮换最省心，Azure Key Vault 在证书管理上更强，GCP Secret Manager 的 API 面最简单
• 任何情况下都不该把凭据写进镜像或配置文件，应在启动时或通过 sidecar 获取
• 通配符策略、共享服务账号、单一 unseal key 持有者均被列为反模式