密钥轮换失败通常不是生成新密钥的问题，而是消费者无法同时接受新旧凭据。轮换流程必须把兼容窗口设计进去。
标准阶段
- 生成新密钥并记录版本，不立即撤销旧密钥。
- 让服务端同时接受新旧密钥。
- 分批更新消费者，监控认证失败率。
- 确认旧密钥不再使用后撤销。
- 删除缓存和无效副本，完成审计记录。
避免静态复制
优先使用短期凭据和工作负载身份。必须使用 Secret 时，通过外部密钥管理器同步，并避免在 Git、镜像层和日志中出现明文。
建立可观测性
认证日志应包含密钥版本而不是密钥值。轮换看板展示各版本调用量、失败率和剩余未迁移实例。
异常处理
发现泄露时缩短兼容窗口，先阻断攻击路径再更新消费者。常规轮换脚本必须定期演练，不能等真实泄露时首次运行。