凭据自动轮换工程实践：安当SMS如何实现零接触更新

“我们数据库的密码，三年没换过了。”——这句话在甲方安全评审会上出现的频率，高得吓人。

一、为什么轮换如此重要

凭据的价值，随时间递减。一个用了一年的密码，哪怕今天刚泄露，攻击者拿到的也是当前仍然有效的凭证，可以继续横向移动、长期潜伏。而一个按 30 天自动轮换的密码，即使某次泄露，窗口也仅限于一个月内。

Verizon 的报告中有一个常被引用的数字：76% 的企业数据库密码超过一年未更换。轮换缺失，本质上是把"已泄露凭据"的杀伤力无限拉长。

二、手工轮换为什么走不通

理想情况下，密码到期应该自动换。但现实里手工轮换有三道坎：

1. 改一处要同步 N 处：密码变了，几十个应用配置、运维脚本、连接池都要跟着改；
2. 业务怕中断：换密码期间连不上库，交易受影响；
3. 没人愿意背锅：谁都不想因为"换密码把生产搞挂了"而被叫起来。

结果就是：能不动就不动。

三、自动轮换的三个设计要点

可行的自动轮换，至少要解决三件事：

1. 策略驱动，而非人工触发
把"每 30 天换一次"写成策略，系统自动完成"生成新密码 → 作废旧密码 → 下发新密码"的全流程。人只定义规则，不碰执行。

2. 批量灰度，业务零中断
大规模轮换不能"一刀切"。成熟的方案支持灰度：新密码先生成，通过 API 推送到对应业务系统配置，应用无需重启即可用新凭据；对动态凭据更是无感——旧凭据到期前新凭据已刷新，连接不中断。

3. 与生命周期绑定
临时凭据按生命周期自动销毁，到期即回收，不该长期存在的凭据（如离职人员、过渡环境）设置时长上限，到点自动撤销。

以安当 SMS 的轮换能力为例，其配置周期性自动轮转策略后，系统自动完成密码生成、旧密码作废、新密码下发全流程，并支持批量灰度轮换，官方给出的参考数据是减少约 80% 的人工操作量——关键不在"省人力"，而在"轮换终于真正发生"。

四、一个容易被忽略的点：轮换要可审计

自动轮换如果不可审计，等于又造了一个"无人知晓的黑盒"。每次轮换应当记录：谁触发、何时生效、旧凭据是否已彻底作废。这部分日志要能对接企业 SIEM，否则合规审计时仍然拿不出证据。

方案参考

安当 SMS 凭据管理系统将"凭据自动轮换"作为核心能力之一，支持周期性定时轮换、批量灰度发布与零中断切换，轮换动作全程进入审计日志。结合其凭据集中管控能力，企业可把"密码该换就换"从口号变成自动执行的策略。是否适用还需结合具体数据库类型与发布节奏评估。

注：本文为技术解析，具体接入方式与兼容性请以官方文档 doc.andang.cn 为准。