一、重置核心原理與準備工作

1. 重置本質(zhì)：因 SecretKey 無法找回或修改，重置 = 創(chuàng)建新密鑰 + 淘汰舊密鑰，確保業(yè)務(wù)連續(xù)性需先建后刪
2. 準備事項：
   • 主賬號登錄權(quán)限（或子賬號擁有自助管理密鑰權(quán)限）
   • 密碼管理器（保存新密鑰）
   • 業(yè)務(wù)系統(tǒng)清單（需同步更新新密鑰的應(yīng)用）
   • 明確子賬號所需 CDN 權(quán)限范圍（重置后保持最小權(quán)限）

二、場景一：主賬號為子賬號重置 API 密鑰（推薦，生產(chǎn)環(huán)境首選）

步驟 1：定位子賬號與密鑰管理頁

1. 主賬號登錄騰訊云控制臺，訪問CAM 用戶列表
2. 找到目標子賬號（如cdn-operator），點擊用戶名進入詳情頁
3. 切換至API 密鑰標簽頁（核心操作區(qū)）

步驟 2：禁用舊密鑰（安全第一，防止業(yè)務(wù)中斷）

1. 在 API 密鑰列表中，找到待重置的密鑰，點擊操作列的禁用
2. 彈出確認框，勾選 “我已確認...”，點擊確定
3. 驗證：密鑰狀態(tài)變?yōu)?span style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; font-weight: 700; line-height: 24px; flex: 0 1 auto; flex-direction: row; justify-content: normal; align-items: normal; padding: 0px; margin: 0px; background: none 0% 0% / auto repeat scroll padding-box border-box rgba(0, 0, 0, 0);">已禁用（此時業(yè)務(wù)會中斷，需快速推進）

步驟 3：刪除舊密鑰（徹底淘汰，釋放額度）

1. 對已禁用的密鑰，點擊操作列的刪除
2. 二次確認：“API 密鑰刪除后無法恢復(fù)，是否繼續(xù)？” → 點擊確定
3. 限制說明：每個子賬號最多創(chuàng)建2 個密鑰，刪除舊密鑰后才能新建

步驟 4：創(chuàng)建新 API 密鑰（核心步驟）

1. 點擊 API 密鑰頁左上角新建密鑰（藍色按鈕）
2. 完成主賬號二次驗證（微信掃碼 / 短信，安全強制要求）
3. 系統(tǒng)生成新的SecretId和SecretKey，彈出保存窗口
4. 立即保存（不可逆）：
   • 復(fù)制 SecretId/SecretKey 到密碼管理器
   • 點擊下載 CSV備份到本地安全目錄
5. 點擊確定關(guān)閉窗口（關(guān)閉后無法再次查看該 SecretKey）

步驟 5：業(yè)務(wù)切換與舊密鑰清理

1. 先更新后停用：在所有使用舊密鑰的系統(tǒng)中配置新密鑰（如 CDN 預(yù)熱查詢腳本）
2. 測試新密鑰可用性（調(diào)用 DescribeCdnRefreshTasks API 驗證權(quán)限）
3. 確認業(yè)務(wù)正常后，徹底刪除舊密鑰（已禁用可直接刪除）
4. 記錄操作：在 CAM 日志中標記 “密鑰重置 - 子賬號 xxx - 用途 xxx”

三、場景二：子賬號自助重置 API 密鑰（需主賬號授權(quán)）

前置條件：主賬號授予自助管理權(quán)限

1. 主賬號進入子賬號詳情頁 → 權(quán)限標簽 → 添加權(quán)限
2. 搜索并關(guān)聯(lián)策略：QcloudCollApiKeyManageAccess（子賬號自助管理自身密鑰必需）
3. 可選添加QcloudCDNReadOnlyAccess（CDN 查詢權(quán)限，保持最小權(quán)限）

子賬號自助重置步驟

1. 子賬號登錄控制臺，訪問API 密鑰管理頁
2. 同主賬號操作：禁用舊密鑰 → 刪除舊密鑰 → 新建密鑰
3. 保存新密鑰并更新業(yè)務(wù)系統(tǒng)，完成后清理舊密鑰
4. 注意：子賬號僅能管理自身密鑰，無法操作其他子賬號

四、重置后的關(guān)鍵配置與驗證

1. 權(quán)限校驗（防止重置后權(quán)限異常）

2. 業(yè)務(wù)系統(tǒng)密鑰更新清單（示例）

五、安全管理與風險控制（生產(chǎn)環(huán)境必執(zhí)行）

1. 密鑰重置安全最佳實踐

2. 子賬號密鑰數(shù)量限制與管理

• 每個子賬號最多創(chuàng)建2 個密鑰（輪換時可同時存在 2 個，確保業(yè)務(wù)不中斷）
• 建議：一個密鑰用于生產(chǎn)，一個用于測試 / 備用，避免混用

六、常見問題與解決方案

1. 子賬號無法創(chuàng)建新密鑰（提示 “已達上限”）

• 原因：子賬號已有 2 個密鑰（禁用 / 啟用狀態(tài)均計入）
• 解決：禁用并刪除一個舊密鑰，釋放額度后重試

2. API 調(diào)用提示 “鑒權(quán)失敗”（重置后）

• 排查步驟：
  1. 核對新 SecretId/SecretKey 是否正確（無空格 / 拼寫錯誤）
  2. 檢查密鑰狀態(tài)是否為啟用
  3. 確認子賬號權(quán)限包含QcloudCDNReadOnlyAccess
  4. 測試網(wǎng)絡(luò)連通性（CDN API 域名：cdn.api.qcloud.com）

3. 子賬號無法自助重置密鑰

• 原因：主賬號未授予自助管理權(quán)限
• 解決：主賬號為子賬號添加QcloudCollApiKeyManageAccess策略

4. 重置后業(yè)務(wù)中斷

• 預(yù)防方案：
  1. 制定 “密鑰輪換計劃”，明確時間窗口（如凌晨低峰期）
  2. 先在測試環(huán)境驗證新密鑰
  3. 生產(chǎn)環(huán)境采用 “雙密鑰并行”：先配置新密鑰，驗證成功后再刪除舊密鑰

七、快速操作清單（一鍵核對）