M23密钥管理
密钥分层、轮换、应急
学完能15 分钟内完成一次密钥轮换
01为什么重要
密钥的价值不在「有」，在「能换」。一把换不掉的密钥，等于一个永久后门；而轮换只要演练过一次，就没那么可怕。
02要讲清的 3 件事核心要点
- 五类密钥：账号密钥 / 部署密钥 / CI Secrets / API Token / MCP 凭据
- 台账只记用途与日期，不记密钥本体
- 轮换周期与吊销流程；泄露应急五步
03照着做：4 步操作顺序
- 列密钥台账：用途、持有人、轮换日期
- 生成新钥并部署到位
- 验证新钥可用后吊销旧钥
- 全仓搜一遍明文密钥
ssh-keygen -t ed25519 -f ~/.ssh/deploy_new -C "deploy-2026"
ssh-keygen -lf ~/.ssh/deploy_new.pub # 核对指纹再部署
# 部署并验证通过后，再吊销旧钥
04产出物与验收做完怎么算过
产出物
密钥台账（不含密钥本体）
验收判据
可验全仓搜索无明文密钥；吊销后旧密钥确认失效
05练习15 分钟内可做完
换一把部署密钥，走完「生成 → 部署 → 验证 → 吊销旧的」全流程。
06最容易踩的坑
私钥放在项目目录里被一起提交；密钥只存一份，丢了要重建整条链路
后果：密钥只存一份、也没人知道它在哪，丢了就得重建整条链路。
07自检表进度存在本机浏览器
0 / 6
08本讲术语全部 28 条
- MCP：一种让工具连接外部系统的标准接口：把仓库、云平台、文档服务接成可调用的能力。
- CI 与 Actions：CI＝每次提交后自动跑构建与检查；GitHub Actions 是它的一种实现，配置写在 .github/workflows/。
- Secrets：仓库里加密保存的变量（如服务器地址与私钥），只在流水线运行时注入，不进代码。
- 轮换与吊销：轮换＝定期换一把新密钥；吊销＝让旧的立刻失效。泄露时必须先吊销、再换新。
- 台账：只记「有什么、什么时候到期、谁负责」的清单；密钥台账不记密钥本体。