密钥与证书轮换
授权密钥、传输身份和外部服务凭据承担不同职责。更换其中一类，不自动授予变更其他类别的权限。
轮换必须保持什么
- 变更有获准范围、责任人和可审阅证据。
- 请求保持与原授权签名上下文绑定，轮换不能静默重写在途审批。
- 新访问经过验证，退役访问被拒绝。
- 疑似泄露不能成为降低门限或绕过策略的理由。
- 私密材料继续按预定托管域隔离。
可审阅的结果
轮换审阅应明确变更了什么、谁批准、替代配置是否可用、退役访问是否被拒绝，以及未完成操作如何处理。公开证据可以说明这些结果，无需发布私有拓扑或操作配置。
当前边界
生命周期及回滚检查已有受控非生产测试证据。密钥安全交付与销毁、HSM/KMS 托管、独立管理及生产多运营方验收仍待验证。
精确激活步骤、身份配置、紧急替换和恢复指引属于与版本匹配的受限操作手册，使用前必须结合实际环境审查。