云大佬轮换密钥是安全基本功，但真正出事故的往往不是“没轮换”，而是“轮换时直接删”：某个被遗忘的定时任务仍在用旧密钥，删除后凌晨报警。云大佬在帮客户整理腾讯云账号时，一律采用“先禁用、再观察、后删除”的退役顺序，下面把官方文档里的要点串成一份步骤。
官方给出的轮换顺序
腾讯云关于定期轮换访问密钥的安全建议里，把流程分成三步：先在访问管理控制台为子用户创建新的 API 密钥，并更新到相关应用或服务；确认所有服务都切换到新密钥后，再禁用旧密钥；禁用之后继续观察业务运行状态，确认没有异常，才删除旧密钥。文档同时建议子账号密钥至少每 90 天轮换一次，涉及敏感业务的应缩短周期，并建议把给人登录用的子用户和给程序调用用的子用户分开，不给仅登录控制台的子用户创建密钥。
配图为流程示意，非控制台截图或交易凭据。
一份可执行的退役清单
| 步骤 | 操作 | 要确认的事 |
|---|---|---|
| 1 创建新密钥 | 在子用户的 API 密钥页创建 | 每个子用户最多两个密钥，留好空位 |
| 2 更新应用 | 把新密钥写入各服务的配置 | 用密钥管理方式保存，不写进代码仓库 |
| 3 核对调用记录 | 查看操作审计与密钥的访问记录 | 旧密钥是否仍有近期调用 |
| 4 禁用旧密钥 | 在操作列点击禁用 | 禁用后使用该密钥的请求会被拒绝 |
| 5 观察期 | 保持一段时间并留意报错 | 观察期长短按业务周期决定 |
| 6 删除旧密钥 | 确认无异常后删除 | 删除后无法恢复，需谨慎 |
官方文档特别提示，自 2023 年 11 月 30 日起，所有主账号与子账号都不再支持查询 SecretKey，只在创建时能保存，所以创建新密钥时务必立刻存入密钥管理位置。
观察期要看什么
禁用并不是终点，而是一次“灰度演练”：如果有程序还在用旧密钥，它的请求会被拒绝，这正是暴露遗漏的时机。观察期内建议盯住应用报错日志、定时任务的执行结果和告警。如果出现问题，可以重新启用旧密钥，修复遗漏后再次禁用；而删除之后，密钥无法恢复。因此观察期应至少覆盖一个完整的业务周期，例如包含月度结算脚本的一个月。
配图为流程示意，非控制台截图或交易凭据。
示例：月底脚本的发现
某团队在轮换后禁用旧密钥，当天一切正常，但月底对账脚本报了鉴权失败，原来这个脚本还写着旧密钥。因为只是禁用，他们当天就重新启用旧密钥、更新脚本，再次禁用，没有造成数据损失。如果当时直接删除，就只能重新创建密钥并补跑任务。
主账号的密钥也这样处理吗？
官方建议尽量不创建主账号密钥，日常调用使用子用户与角色授权。如果确有历史主账号密钥，同样遵循先禁用、后删除的顺序，并尽快迁移到子用户。
密钥泄露时也要等观察期吗？
不需要。怀疑泄露时应立即禁用，再核对调用记录，并创建新密钥替换。观察期针对的是正常轮换，不适用于应急止损。
延伸阅读与办理
可继续阅读腾讯云账号子用户多了怎么授权？用户组批量关联策略。需要办理时，先查看腾讯云账号服务说明，再通过云大佬咨询入口说明用途与待核对事项。
官方资料
腾讯云：子账号 API 密钥管理；腾讯云：定期轮换访问密钥的安全建议；腾讯云：UpdateAccessKey 接口；腾讯云：CloudAudit 入门。资料核对日期：2026-11-06。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
