workbuddy kms密钥轮转有四种方法：一、azure key vault手动轮换；二、启用其自动轮换策略；三、云厂商kms服务端轮换并重绑定；四、基于tpm/hsm硬件模块离线轮换，均保障密钥安全与合规。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您正在使用WorkBuddy并依赖KMS托管的加密密钥保护本地数据库、Claw指令载荷或同步配置数据，则密钥长期未轮转可能引发合规风险与泄露隐患。以下是确保KMS密钥安全性的多种实操轮转方法：
一、通过Azure Key Vault执行手动密钥版本轮换
该方法适用于WorkBuddy已集成Azure Key Vault作为客户管理密钥（CMK）后端的场景，通过显式创建新密钥版本并更新应用引用，实现可控、可审计的密钥轮转。
1、以具有密钥加密/解密权限的角色登录Azure门户，进入目标Key Vault实例。
2、在左侧菜单选择「密钥」，定位到WorkBuddy正在使用的密钥名称（例如：wb-db-encryption-key）。
3、点击该密钥进入详情页，选择「版本」选项卡，点击「生成/导入」按钮。
4、保持密钥类型为RSA或EC（需与WorkBuddy当前支持的算法一致），设置启用日期与过期日期，点击「创建」。
5、新版本生成后，进入WorkBuddy服务器或客户端配置目录，修改密钥标识符（Key ID）为新版本的完整URI（形如：https://xxx.vault.azure.net/keys/wb-db-encryption-key/abcd1234...）。
6、重启WorkBuddy服务或Claw进程，验证日志中出现Key version updated to v2.0.0及后续加解密操作无异常。
二、启用Azure Key Vault自动轮换策略
该方法利用Key Vault原生轮换机制，按预设周期自动生成新密钥版本，并触发Webhook通知WorkBuddy服务更新密钥引用，避免人工干预延迟。
1、在Azure Key Vault密钥详情页，点击「轮换策略」选项卡，点击「编辑轮换策略」。
2、设置「轮换频率」为730天（两年），符合加密最佳实践要求。
3、设置「提前警告天数」为30天，确保有足够窗口期完成应用适配。
4、在「通知」区域勾选「启用事件网格通知」，指定已配置的事件订阅端点（需为WorkBuddy KMS适配器监听地址）。
5、保存策略后，确认事件网格主题已授权向WorkBuddy服务所在资源组发送Microsoft.KeyVault.KeyRotated事件。
6、WorkBuddy后台服务接收到事件后，自动调用Key Vault REST API获取最新密钥版本，并更新本地密钥缓存，日志中应显示Auto-rotation triggered: fetched version 3.1.0。
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
三、使用KMS服务端密钥轮换并重绑定WorkBuddy配置
该方法适用于WorkBuddy部署于阿里云或腾讯云环境，且采用云厂商原生KMS服务（如腾讯云KMS、阿里云KMS）托管密钥的情形，通过服务端轮换密钥材料并更新密钥别名绑定关系完成轮转。
1、登录对应云厂商KMS控制台，定位至WorkBuddy所用密钥（例如别名：alias/wb-claw-sm4-key）。
2、点击「轮换密钥」按钮，在弹窗中确认轮换操作，系统将自动生成新密钥材料并保留旧版本用于解密历史数据。
3、等待轮换完成（通常秒级），查看密钥详情页中「最近轮换时间」已更新，且「当前版本」状态为Active。
4、进入WorkBuddy管理后台「安全中心」→「密钥绑定」页面，点击「刷新密钥元数据」。
5、系统自动拉取KMS中该别名指向的最新密钥版本ID，并在配置库中标记旧版本为Deprecated。
6、执行一次测试加密操作（如新建一条Claw指令），验证返回结果中包含Encryption successful with key version: 20260411-001。
四、基于TPM/HSM硬件模块执行离线密钥轮换
该方法面向高安全等级部署场景，将SM4等国密密钥材料直接注入设备级可信执行环境，所有轮换操作均在TPM芯片内部完成，密钥明文永不暴露于操作系统内存。
1、确认WorkBuddy运行设备已启用TPM 2.0并完成初始化，且安装了v2.4.0+版本支持HSM密钥代理。
2、在WorkBuddy「Claw 设置」→「加密插件」→「国密支持」中，点击「高级密钥管理」→「TPM轮换向导」。
3、输入管理员PIN码并通过指纹二次认证，解锁TPM密钥存储区。
4、选择「生成新SM4主密钥对」，向导自动调用TPM命令生成新密钥，并将旧密钥标记为Archived。
5、系统提示「密钥轮换完成，旧密钥仍可用于解密」，点击「同步密钥状态至云端备份」（仅加密上传密钥指纹与版本号）。
6、重启Claw服务后，日志首行即显示TPM-bound SM4 key rotated: v4 → v5 (secure enclave verified)。
