{"code":0,"msg":"ok","data":{"addtime":1794283398,"ads":{"e2er22g":{"id":2,"yuming_id":0,"abc":"e2er22g","title":"全局广告","allowSpider":1,"content":"y","addtime":1700000001,"status":1},"m23side":{"id":106,"yuming_id":973015,"abc":"m23side","title":"侧栏推广位","allowSpider":1,"content":"\u003cdiv style=\"padding:10px 12px;border-radius:8px;background:#eef3fb;border:1px solid #cdddf3;\"\u003e\u003cdiv style=\"font-size:14px;font-weight:700;color:#173a6b;\"\u003e◆ 免费产线诊断\u003c/div\u003e\u003cp style=\"font-size:12px;color:#5c6670;margin:6px 0 8px;line-height:1.6;\"\u003e工程师驻场 3 天,输出瓶颈分析与改造 ROI 测算报告。\u003c/p\u003e\u003ca href=\"/list/service\" style=\"display:inline-block;padding:5px 14px;border-radius:6px;background:#2d64c8;color:#fff;font-size:12px;\"\u003e立即预约\u003c/a\u003e\u003c/div\u003e","addtime":1794022680,"status":1},"mbbanner":{"id":64,"yuming_id":0,"abc":"mbbanner","title":"首页横幅广告","allowSpider":1,"content":"\u003ca href=\"/list/product\" style=\"display:flex;align-items:center;justify-content:space-between;padding:20px 28px;border-radius:12px;background:linear-gradient(90deg,#1e5bbf,#123c85);color:#fff;\"\u003e\u003cspan\u003e\u003cb style=\"font-size:18px;\"\u003e新一代企业数字化平台 3.0 发布\u003c/b\u003e\u003ci style=\"display:block;font-style:normal;font-size:13px;opacity:.85;margin-top:4px;\"\u003e预约演示,获取行业专属方案与报价\u003c/i\u003e\u003c/span\u003e\u003cspan style=\"flex-shrink:0;padding:9px 22px;border-radius:8px;background:#f5a623;color:#fff;font-size:13px;font-weight:600;\"\u003e立即咨询 →\u003c/span\u003e\u003c/a\u003e","addtime":1794007893,"status":1}},"arcTimer":0,"body":"\u003cp\u003e\u003cstrong\u003e以 HMAC 签名替代长期静态 Token，密钥信封加密存储，轮换设宽限期，操作与调用全程留痕\u003c/strong\u003e\u003c/p\u003e\u003cp style=\"text-align: center;\"\u003e\u003cimg src=\"https://zhuiai.com/uploads/2026/11/17942836244297.png\" alt=\"\" data-href=\"\" style=\"width: 588.00px;height: 267.37px;\"\u003e\u003c/p\u003e\u003cp\u003e近日，公司的 AKSK 密钥管理系统完成核心闭环开发，进入内部试点与业务联调阶段。该系统面向内部业务系统之间的接口调用与第三方开放接口，围绕 “签发、存储、签名、权限收敛、轮换、审计、告警” 一条主线，把原先散落在代码、配置文件、数据库与聊天记录里的机器凭证，收拢为可管理、可审计、可撤销、可轮换的统一资产。\u003c/p\u003e\u003cp\u003e\u003cstrong\u003e凭证通常是这样失控的\u003c/strong\u003e\u003c/p\u003e\u003cp\u003e文档里写得很直白：项目初期为了赶进度，接口先写死一个固定 Token 或 AK/SK；随后多个系统、多个客户共用同一个凭证；凭证进入代码仓库、配置文件、CI 变量、日志与数据库备份；由于没有轮换机制，一个密钥用上几年；等发现泄漏，只能改代码、发版、重启，止血需要数小时；事后还查不到是谁、从哪个 IP、调了哪个接口。\u003c/p\u003e\u003cp\u003eAKSK 系统针对的就是这条链路。它用 HMAC-SHA256 签名替代长期静态 Token，每次请求的签名都绑定请求方法、路径、查询参数、请求体哈希、时间戳与一次性随机数；签名之外，还叠加 Scope（接口授权范围）、IP 白名单、QPS 与日调用配额，未显式授权的接口默认拒绝。\u003c/p\u003e\u003cp\u003e\u003cstrong\u003e主要能力\u003c/strong\u003e\u003c/p\u003e\u003cul\u003e\u003cli\u003e\u003cstrong\u003e密钥生命周期\u003c/strong\u003e：创建时指定业务、环境、Scope、IP、配额与过期时间；Secret Key（SK）仅在创建与轮换时展示一次，此后任何查询接口都不再返回明文；支持禁用、启用、软删除与回收站清理，删除需输入 AK 后四位确认，审计线索保留。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e加密存储\u003c/strong\u003e：SK 由随机生成的数据密钥（DEK）加密，DEK 再由密钥加密密钥（KEK）包装后入库，形成信封加密；KEK 可放在本地，也可接 Vault Transit 或 AWS KMS 托管，并支持按周期轮换、重新包装 DEK 与旧密文迁移。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e轮换与止损\u003c/strong\u003e：手动轮换后新 SK 立即生效，旧 SK 进入宽限期，新旧并行验签，宽限期结束自动失效；支持按周期自动轮换并推送新 SK；发现泄漏时，管理员可在后台直接禁用或紧急轮换，把原先 “改代码、发版、重启” 的处置方式改为一次后台操作。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e权限与环境\u003c/strong\u003e：每个业务独立 AK、独立配额、独立审计，业务禁用后其下所有密钥立即失效；密钥区分生产与测试环境，严格模式下开放接口必须携带环境标识，不匹配直接拒绝；操作员创建生产密钥需管理员审批。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e第三方凭证托管\u003c/strong\u003e：针对第三方 AK/SK 不能轮换、不能加 IP 白名单、又不便直接交给开发人员的情况，提供两种模式。其一为受控下发：业务程序用本系统 AK/SK 调用取用接口，拿到第三方 AK 与经 AES-GCM 加密的 SK 密文，在本地用运维注入的业务密钥解密，响应中不包含解密密钥。其二为服务端代理：业务程序请求代理接口，由系统在服务端注入第三方凭证并转发，SK 不落到业务侧，同时对目标地址做私网与回环拦截、限定路径前缀、限制超时与响应体大小。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e审计与告警\u003c/strong\u003e：登录、用户变更、业务操作、密钥操作、开放接口调用、第三方取用均写入审计，可按操作人、AK、动作、结果、时间与 IP 组合查询；记录以 SHA-256 哈希链串联，支持导出 CSV 与链完整性校验，篡改任一条记录即可被发现；登录失败、验签失败、用量突增可触发告警，并按规则与 IP 做冷却，避免告警风暴。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e接入与运维\u003c/strong\u003e：提供 OpenAPI 3.0 契约、Go、Node.js、Python、Java 四语言 SDK，以及 cURL、Postman、PHP、C# 示例与在线签名调试器，验签失败时返回服务端时间便于校准时钟；运维侧提供 Prometheus 指标、SLO 快照、请求 ID 与基于 traceparent 的链路追踪，备份恢复流程限定在独立目标库执行，拒绝覆盖源库。\u003c/li\u003e\u003c/ul\u003e\u003cp\u003e\u003cstrong\u003e当前阶段与能力边界\u003c/strong\u003e\u003c/p\u003e\u003cp\u003e该系统目前为内部试点版本，已完成登录与权限、密钥生命周期、签名验签、审计、KMS 托管、控制台与 SDK 等核心能力，具备内部试点和业务联调条件。文档同时明确了几处边界：容器编排、Prometheus 与 Grafana、追踪采集器尚未在目标环境实测；多活与高可用、审计按天分区、分片上传、LDAP/AD 直连仍在规划中；性能与可用性指标为目标值，尚未做压力测试。因此，若要直接用于公网生产，建议先补齐部署实测、告警接收端接入、备份定时与异地加密、高可用及高并发压测。\u003c/p\u003e\u003cp\u003e此外，系统不承诺第三方 SK 可自动轮换，只能更新为新值；不承诺在持有服务器调试权限的情况下，明文密钥无法被获取，该场景需借助代理模式或硬件密钥托管进一步收敛；也不承诺未经压测即可支撑公网高并发。\u003c/p\u003e\u003cp\u003e\u003cstrong\u003e三条设计原则\u003c/strong\u003e\u003c/p\u003e\u003cp\u003e一是 SK 只写不读，创建时给一次，之后谁也不该再取出来；二是默认最小权限，新密钥默认不授权，Scope 必须显式配置；三是一切可撤销、可回滚，删除有回收站，轮换有宽限期，状态变更即时生效。文档对此的解释是：没有审计的鉴权，等于没做鉴权。\u003c/p\u003e\u003cp\u003e软件产品视频演示效果--》\u003ca href=\"https://www.bilibili.com/video/BV16C4h6tEvM/?vd_source=f3d428168735536a5539c2c4b021c34d\" target=\"_blank\"\u003e\u003cspan style=\"color: rgb(54, 88, 226);\"\u003e视频链接\u003c/span\u003e\u003c/a\u003e\u003c/p\u003e\u003cp\u003e\u003cbr\u003e\u003c/p\u003e","class":"product","click":26,"content":"\u003cp\u003e\u003cstrong\u003e以 HMAC 签名替代长期静态 Token，密钥信封加密存储，轮换设宽限期，操作与调用全程留痕\u003c/strong\u003e\u003c/p\u003e\u003cp style=\"text-align: center;\"\u003e\u003cimg src=\"https://zhuiai.com/uploads/2026/11/17942836244297.png\" alt=\"\" data-href=\"\" style=\"width: 588.00px;height: 267.37px;\"\u003e\u003c/p\u003e\u003cp\u003e近日，公司的 AKSK 密钥管理系统完成核心闭环开发，进入内部试点与业务联调阶段。该系统面向内部业务系统之间的接口调用与第三方开放接口，围绕 “签发、存储、签名、权限收敛、轮换、审计、告警” 一条主线，把原先散落在代码、配置文件、数据库与聊天记录里的机器凭证，收拢为可管理、可审计、可撤销、可轮换的统一资产。\u003c/p\u003e\u003cp\u003e\u003cstrong\u003e凭证通常是这样失控的\u003c/strong\u003e\u003c/p\u003e\u003cp\u003e文档里写得很直白：项目初期为了赶进度，接口先写死一个固定 Token 或 AK/SK；随后多个系统、多个客户共用同一个凭证；凭证进入代码仓库、配置文件、CI 变量、日志与数据库备份；由于没有轮换机制，一个密钥用上几年；等发现泄漏，只能改代码、发版、重启，止血需要数小时；事后还查不到是谁、从哪个 IP、调了哪个接口。\u003c/p\u003e\u003cp\u003eAKSK 系统针对的就是这条链路。它用 HMAC-SHA256 签名替代长期静态 Token，每次请求的签名都绑定请求方法、路径、查询参数、请求体哈希、时间戳与一次性随机数；签名之外，还叠加 Scope（接口授权范围）、IP 白名单、QPS 与日调用配额，未显式授权的接口默认拒绝。\u003c/p\u003e\u003cp\u003e\u003cstrong\u003e主要能力\u003c/strong\u003e\u003c/p\u003e\u003cul\u003e\u003cli\u003e\u003cstrong\u003e密钥生命周期\u003c/strong\u003e：创建时指定业务、环境、Scope、IP、配额与过期时间；Secret Key（SK）仅在创建与轮换时展示一次，此后任何查询接口都不再返回明文；支持禁用、启用、软删除与回收站清理，删除需输入 AK 后四位确认，审计线索保留。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e加密存储\u003c/strong\u003e：SK 由随机生成的数据密钥（DEK）加密，DEK 再由密钥加密密钥（KEK）包装后入库，形成信封加密；KEK 可放在本地，也可接 Vault Transit 或 AWS KMS 托管，并支持按周期轮换、重新包装 DEK 与旧密文迁移。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e轮换与止损\u003c/strong\u003e：手动轮换后新 SK 立即生效，旧 SK 进入宽限期，新旧并行验签，宽限期结束自动失效；支持按周期自动轮换并推送新 SK；发现泄漏时，管理员可在后台直接禁用或紧急轮换，把原先 “改代码、发版、重启” 的处置方式改为一次后台操作。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e权限与环境\u003c/strong\u003e：每个业务独立 AK、独立配额、独立审计，业务禁用后其下所有密钥立即失效；密钥区分生产与测试环境，严格模式下开放接口必须携带环境标识，不匹配直接拒绝；操作员创建生产密钥需管理员审批。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e第三方凭证托管\u003c/strong\u003e：针对第三方 AK/SK 不能轮换、不能加 IP 白名单、又不便直接交给开发人员的情况，提供两种模式。其一为受控下发：业务程序用本系统 AK/SK 调用取用接口，拿到第三方 AK 与经 AES-GCM 加密的 SK 密文，在本地用运维注入的业务密钥解密，响应中不包含解密密钥。其二为服务端代理：业务程序请求代理接口，由系统在服务端注入第三方凭证并转发，SK 不落到业务侧，同时对目标地址做私网与回环拦截、限定路径前缀、限制超时与响应体大小。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e审计与告警\u003c/strong\u003e：登录、用户变更、业务操作、密钥操作、开放接口调用、第三方取用均写入审计，可按操作人、AK、动作、结果、时间与 IP 组合查询；记录以 SHA-256 哈希链串联，支持导出 CSV 与链完整性校验，篡改任一条记录即可被发现；登录失败、验签失败、用量突增可触发告警，并按规则与 IP 做冷却，避免告警风暴。\u003c/li\u003e\u003cli\u003e\u003cstrong\u003e接入与运维\u003c/strong\u003e：提供 OpenAPI 3.0 契约、Go、Node.js、Python、Java 四语言 SDK，以及 cURL、Postman、PHP、C# 示例与在线签名调试器，验签失败时返回服务端时间便于校准时钟；运维侧提供 Prometheus 指标、SLO 快照、请求 ID 与基于 traceparent 的链路追踪，备份恢复流程限定在独立目标库执行，拒绝覆盖源库。\u003c/li\u003e\u003c/ul\u003e\u003cp\u003e\u003cstrong\u003e当前阶段与能力边界\u003c/strong\u003e\u003c/p\u003e\u003cp\u003e该系统目前为内部试点版本，已完成登录与权限、密钥生命周期、签名验签、审计、KMS 托管、控制台与 SDK 等核心能力，具备内部试点和业务联调条件。文档同时明确了几处边界：容器编排、Prometheus 与 Grafana、追踪采集器尚未在目标环境实测；多活与高可用、审计按天分区、分片上传、LDAP/AD 直连仍在规划中；性能与可用性指标为目标值，尚未做压力测试。因此，若要直接用于公网生产，建议先补齐部署实测、告警接收端接入、备份定时与异地加密、高可用及高并发压测。\u003c/p\u003e\u003cp\u003e此外，系统不承诺第三方 SK 可自动轮换，只能更新为新值；不承诺在持有服务器调试权限的情况下，明文密钥无法被获取，该场景需借助代理模式或硬件密钥托管进一步收敛；也不承诺未经压测即可支撑公网高并发。\u003c/p\u003e\u003cp\u003e\u003cstrong\u003e三条设计原则\u003c/strong\u003e\u003c/p\u003e\u003cp\u003e一是 SK 只写不读，创建时给一次，之后谁也不该再取出来；二是默认最小权限，新密钥默认不授权，Scope 必须显式配置；三是一切可撤销、可回滚，删除有回收站，轮换有宽限期，状态变更即时生效。文档对此的解释是：没有审计的鉴权，等于没做鉴权。\u003c/p\u003e\u003cp\u003e软件产品视频演示效果--》\u003ca href=\"https://www.bilibili.com/video/BV16C4h6tEvM/?vd_source=f3d428168735536a5539c2c4b021c34d\" target=\"_blank\"\u003e\u003cspan style=\"color: rgb(54, 88, 226);\"\u003e视频链接\u003c/span\u003e\u003c/a\u003e\u003c/p\u003e\u003cp\u003e\u003cbr\u003e\u003c/p\u003e","description":"AKSK 密钥管理系统进入内部试点：把散落的机器凭证收成一份可轮换、可审计的资产","flag":"","id":9,"isMobile":false,"keyword":"AKSK密钥管理系统,可审计的资产","keywords":"AKSK密钥管理系统,可审计的资产","mobileUrl":"https://m.zhuiai.com/api/front/www.zhuiai.com/article/9","nextArc":null,"ping_errMsg":"","ping_status":0,"preArc":{"id":4,"title":"OP-PAS 发布：授权签发、卡密激活、版本升级与盗版追踪放进同一套系统"},"pubdate":1794283398,"pubtime":1794283398,"related":[{"addtime":1794008281,"id":4,"thumb":"/tpl/moban23a/skin/images/0a505657910f345e5b76b2eee3455335.jpg","title":"OP-PAS 发布：授权签发、卡密激活、版本升级与盗版追踪放进同一套系统"},{"addtime":1794011881,"id":3,"thumb":"/tpl/moban23a/skin/images/0a505657910f345e5b76b2eee3455335.jpg","title":"OP-WAF 发布：把多台服务器上的 Nginx 配置与防护收进一个后台"}],"seoConfig":{"id":0,"seoWord":"","seoTitle":"","seoTitlex":"","seoWordNum":"","seoWordScale":"","yuming_id":0,"autoseo":0,"autonum":0},"site":{"id":973015,"name":"zhuiai.com","description":"厦门追爱科技是云办公模式的小微企业，致力于为个人成长赋能，为企业数字化运营助力。追爱科技 Zhuiai | AI软件 | AI考证 | AI陪跑 | 企业数字化 | 企业数字化系统","sitename":"追爱科技","logo":"","keywords":"厦门追爱科技,追爱逐梦,科技赋能,追你所爱,追爱总动员,追爱科技,追爱赋能,ZHUIAI,追爱AI,追爱AI赋能,ZHUIAI.COM,企业官网","template":"moban23a","siteTitle":"追爱 - 厦门追爱企业官网","mobileSwitch":1,"beian":"闽ICP备2025116420号","analyticsCode":"\u003cscript src=\"https://aianswer.zhuiai.cn/widget.js?key=16926741847fa6314294babf\"\u003e\u003c/script\u003e","urlStyle":"html","canonicalHost":""},"siteCode":"","source":"","status":1,"text":"以 HMAC 签名替代长期静态 Token，密钥信封加密存储，轮换设宽限期，操作与调用全程留痕\n\n近日，公司的 AKSK 密钥管理系统完成核心闭环开发，进入内部试点与业务联调阶段。该系统面向内部业务系统之间的接口调用与第三方开放接口，围绕 “签发、存储、签名、权限收敛、轮换、审计、告警” 一条主线，把原先散落在代码、配置文件、数据库与聊天记录里的机器凭证，收拢为可管理、可审计、可撤销、可轮换的统一资产。\n凭证通常是这样失控的\n文档里写得很直白：项目初期为了赶进度，接口先写死一个固定 Token 或 AK/SK；随后多个系统、多个客户共用同一个凭证；凭证进入代码仓库、配置文件、CI 变量、日志与数据库备份；由于没有轮换机制，一个密钥用上几年；等发现泄漏，只能改代码、发版、重启，止血需要数小时；事后还查不到是谁、从哪个 IP、调了哪个接口。\nAKSK 系统针对的就是这条链路。它用 HMAC-SHA256 签名替代长期静态 Token，每次请求的签名都绑定请求方法、路径、查询参数、请求体哈希、时间戳与一次性随机数；签名之外，还叠加 Scope（接口授权范围）、IP 白名单、QPS 与日调用配额，未显式授权的接口默认拒绝。\n主要能力\n密钥生命周期：创建时指定业务、环境、Scope、IP、配额与过期时间；Secret Key（SK）仅在创建与轮换时展示一次，此后任何查询接口都不再返回明文；支持禁用、启用、软删除与回收站清理，删除需输入 AK 后四位确认，审计线索保留。加密存储：SK 由随机生成的数据密钥（DEK）加密，DEK 再由密钥加密密钥（KEK）包装后入库，形成信封加密；KEK 可放在本地，也可接 Vault Transit 或 AWS KMS 托管，并支持按周期轮换、重新包装 DEK 与旧密文迁移。轮换与止损：手动轮换后新 SK 立即生效，旧 SK 进入宽限期，新旧并行验签，宽限期结束自动失效；支持按周期自动轮换并推送新 SK；发现泄漏时，管理员可在后台直接禁用或紧急轮换，把原先 “改代码、发版、重启” 的处置方式改为一次后台操作。权限与环境：每个业务独立 AK、独立配额、独立审计，业务禁用后其下所有密钥立即失效；密钥区分生产与测试环境，严格模式下开放接口必须携带环境标识，不匹配直接拒绝；操作员创建生产密钥需管理员审批。第三方凭证托管：针对第三方 AK/SK 不能轮换、不能加 IP 白名单、又不便直接交给开发人员的情况，提供两种模式。其一为受控下发：业务程序用本系统 AK/SK 调用取用接口，拿到第三方 AK 与经 AES-GCM 加密的 SK 密文，在本地用运维注入的业务密钥解密，响应中不包含解密密钥。其二为服务端代理：业务程序请求代理接口，由系统在服务端注入第三方凭证并转发，SK 不落到业务侧，同时对目标地址做私网与回环拦截、限定路径前缀、限制超时与响应体大小。审计与告警：登录、用户变更、业务操作、密钥操作、开放接口调用、第三方取用均写入审计，可按操作人、AK、动作、结果、时间与 IP 组合查询；记录以 SHA-256 哈希链串联，支持导出 CSV 与链完整性校验，篡改任一条记录即可被发现；登录失败、验签失败、用量突增可触发告警，并按规则与 IP 做冷却，避免告警风暴。接入与运维：提供 OpenAPI 3.0 契约、Go、Node.js、Python、Java 四语言 SDK，以及 cURL、Postman、PHP、C# 示例与在线签名调试器，验签失败时返回服务端时间便于校准时钟；运维侧提供 Prometheus 指标、SLO 快照、请求 ID 与基于 traceparent 的链路追踪，备份恢复流程限定在独立目标库执行，拒绝覆盖源库。当前阶段与能力边界\n该系统目前为内部试点版本，已完成登录与权限、密钥生命周期、签名验签、审计、KMS 托管、控制台与 SDK 等核心能力，具备内部试点和业务联调条件。文档同时明确了几处边界：容器编排、Prometheus 与 Grafana、追踪采集器尚未在目标环境实测；多活与高可用、审计按天分区、分片上传、LDAP/AD 直连仍在规划中；性能与可用性指标为目标值，尚未做压力测试。因此，若要直接用于公网生产，建议先补齐部署实测、告警接收端接入、备份定时与异地加密、高可用及高并发压测。\n此外，系统不承诺第三方 SK 可自动轮换，只能更新为新值；不承诺在持有服务器调试权限的情况下，明文密钥无法被获取，该场景需借助代理模式或硬件密钥托管进一步收敛；也不承诺未经压测即可支撑公网高并发。\n三条设计原则\n一是 SK 只写不读，创建时给一次，之后谁也不该再取出来；二是默认最小权限，新密钥默认不授权，Scope 必须显式配置；三是一切可撤销、可回滚，删除有回收站，轮换有宽限期，状态变更即时生效。文档对此的解释是：没有审计的鉴权，等于没做鉴权。\n软件产品视频演示效果--》视频链接","thumb":"/uploads/2026/11/17942836244297.png","title":"AKSK 密钥管理系统进入内部试点：把散落的机器凭证收成一份可轮换、可审计的资产","typelink":"\u003ca href='/product/'\u003e产品中心\u003c/a\u003e","typename":"产品中心","typeurl":"/product/","webUrl":"https://zhuiai.com/api/front/www.zhuiai.com/article/9","writer":"admin"}}