Password Rotation 深度解析：特權帳號管理中的密碼輪轉策略與合規實踐

在特權帳號遭竊的事件中，憑證長期有效往往是攻擊者持續潛伏的關鍵因素。Password Rotation 透過強制週期性更換密碼，有效壓縮已洩漏憑證的可用時間窗口，是現代 PAM 架構中不可或缺的防禦機制。

什麼是 Password Rotation？

Password Rotation 是一種按固定週期自動替換密碼的安全策略，核心目標是縮短憑證暴露風險窗口。當密碼在短週期內持續更新，即便攻擊者取得舊憑證，也無法長期維持存取。此機制廣泛應用於資料庫帳號、服務帳號、雲端 IAM 金鑰等特權身份。現代 PAM 平台（如 CyberArk、HashiCorp Vault）均內建自動輪轉引擎，支援排程觸發與事件驅動兩種模式，並在輪轉後即時同步新密碼至相依系統，確保業務不中斷。

合規框架中的輪轉要求

主流合規標準均明確要求特權帳號的密碼輪轉實踐。PCI DSS v4.0 規定特權帳號密碼至少每 90 天輪轉一次；NIST SP 800-63B 則建議以風險事件（如疑似洩漏）驅動輪轉，而非固定時間週期。CIS Controls v8 進一步要求服務帳號密碼長度不得低於 15 字元，且必須納入自動輪轉管理。企業在設計輪轉策略時，應同步考量輪轉頻率、密碼複雜度政策及完整的稽核日誌，以滿足審計需求。

# HashiCorp Vault：為資料庫帳號啟用自動密碼輪轉
vault write database/config/my-db \
  plugin_name=postgresql-database-plugin \
  connection_url="postgresql://{{username}}:{{password}}@db:5432/prod" \
  rotation_period=72h

💡 重點整理

• 縮短暴露窗口：密碼生命週期越短，憑證洩漏造成的實際危害越低。
• 自動化優先：人工輪轉易產生遺漏，應以 PAM 平台或 Vault 實現全程自動化。
• 事件驅動輪轉：偵測到異常存取時，應立即觸發緊急輪轉而非等待排程。
• 同步相依系統：輪轉後必須確保所有引用該憑證的服務同步取得新密碼，避免服務中斷。

Password Rotation 並非單一技術，而是結合自動化、合規政策與稽核追蹤的完整管控體系。在特權帳號管理中，建立持續、可稽核的輪轉流程，是組織降低憑證風險的最直接有效手段。

📚 參考文獻

1. NIST SP 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management｜pages.nist.gov
2. HashiCorp Vault 官方文件 — Database Secrets Engine: Password Rotation｜developer.hashicorp.com
3. PCI Security Standards Council — PCI DSS v4.0 Requirements｜pcisecuritystandards.org

⚠️ 本文內容基於撰寫時的最新資訊，實際

標籤