在特權帳號遭竊的事件中， 憑證長期有效 往往是攻擊者持續潛伏的關鍵因素。Password Rotation 透過強制週期性更換密碼，有效壓縮已洩漏憑證的可用時間窗口，是現代 PAM 架構中不可或缺的防禦機制。 什麼是 Password Rotation？ Password Rotation 是一種 按固定週期自動替換密碼 的安全策略，核心目標是縮短憑證暴露風險窗口。當密碼在短週期內持續更新，即便攻擊者取得舊憑證，也無法長期維持存取。此機制廣泛應用於資料庫帳號、服務帳號、雲端 IAM 金鑰等特權身份。現代 PAM 平台（如 CyberArk、HashiCorp Vault）均內建自動輪轉引擎，支援排程觸發與事件驅動兩種模式，並在輪轉後即時同步新密碼至相依系統，確保業務不中斷。 合規框架中的輪轉要求 主流合規標準均明確要求特權帳號的密碼輪轉實踐。 PCI DSS v4.0 規定特權帳號密碼至少每 90 天輪轉一次； NIST SP 800-63B 則建議以風險事件（如疑似洩漏）驅動輪轉，而非固定時間週期。 CIS Controls v8 進一步要求服務帳號密碼長度不得低於 15 字元，且必須納入自動輪轉管理。企業在設計輪轉策略時，應同步考量輪轉頻率、密碼複雜度政策及完整的稽核日誌，以滿足審計需求。 # HashiCorp Vault：為資料庫帳號啟用自動密碼輪轉 vault write database/config/my-db \ plugin_name=postgresql-database-plugin \ connection_url="postgresql://{{username}}:{{password}}@db:5432/prod" \ rotation_period=72h 💡 重點整理 縮短暴露窗口： 密碼生命週期越短，憑證洩漏造成的實際危害越低。 自動化優先： 人工輪轉易產生遺漏，應以 PAM 平台或 Vault 實現全程自動化。 事件驅動輪轉： 偵測到異常存取時，應立即觸發緊急輪轉而非等待排程。 同步相依系統： 輪轉後必須確保所有引用該憑證的服務同步取得新密碼，避免服務中斷。 Password Rotation 並非單一...