环境变量与密钥的交接

数据库密码写在部署文档第三页，接口密钥躺在前同事的手机备忘录里——这样的交接场面，做过运维的人都不陌生。迁移上云正好是把密钥管理理顺的机会。 一、先把家底盘清楚 交接第一步是列凭据清单：数据库密码、对象存储密钥、HTTPS 证书私钥、第三方接口的 token，每条标注用途、用在哪台机器、负责人是谁。查找线索包括配置文件（.env、application.yml 等）、环境变量导出（`env | grep -i key`）和 crontab 里的明文密码。清单不全，后面的轮换就总会漏掉一两个。 二、用密码管理器代替明文 密钥不该散落在文档和聊天记录里。常见做法是团队共用一个密码管理器，按项目分组，每条记录附用途说明和最近轮换日期。服务器上的 .env 文件权限收紧到 600，属主改成运行账号，避免被其他用户读到。环境变量里的密钥，交接时尽量改为从配置中心或密码管理器拉取，至少做到文档里只记位置、不记密码本身。聊天工具里传过的旧密码，轮换后旧值即告失效，泄露面自然收敛，这也是迁移期轮换的额外好处。 三、轮换挑什么时机 迁移期是天然的最佳时机：凭据反正要重新分发，直接换新，旧密码一律不迁移，新机器全部用随机生成的长串。次优时机是低峰期的维护窗口，轮换后立刻在测试环境验证一遍连接。证书私钥这类无法即时验证的凭据，轮换前先备份旧文件，出问题能快速回退。 四、文档化收尾 轮换完成后更新交接文档：每条凭据的存放位置、负责人、上次轮换时间、下次轮换计划。文档里加一条"发现泄露怎么办"的处理顺序：先吊销、再轮换、最后排查影响面。这份文档本身也要控制知情范围，和密钥同等对待。 密钥交接的目标是"谁都知道密码在哪，没人把密码带在身上"。迁移这一轮做完，往后的定期轮换就只是常规操作。