一、重置核心原理與準(zhǔn)備工作

1. 重置本質(zhì)：因 SecretKey 無法找回或修改，重置 = 創(chuàng)建新密鑰 + 淘汰舊密鑰，確保業(yè)務(wù)連續(xù)性需先建后刪
2. 準(zhǔn)備事項(xiàng)：
   • 主賬號(hào)登錄權(quán)限（或子賬號(hào)擁有自助管理密鑰權(quán)限）
   • 密碼管理器（保存新密鑰）
   • 業(yè)務(wù)系統(tǒng)清單（需同步更新新密鑰的應(yīng)用）
   • 明確子賬號(hào)所需 CDN 權(quán)限范圍（重置后保持最小權(quán)限）

二、場(chǎng)景一：主賬號(hào)為子賬號(hào)重置 API 密鑰（推薦，生產(chǎn)環(huán)境首選）

步驟 1：定位子賬號(hào)與密鑰管理頁

1. 主賬號(hào)登錄騰訊云控制臺(tái)，訪問CAM 用戶列表
2. 找到目標(biāo)子賬號(hào)（如cdn-operator），點(diǎn)擊用戶名進(jìn)入詳情頁
3. 切換至API 密鑰標(biāo)簽頁（核心操作區(qū)）

步驟 2：禁用舊密鑰（安全第一，防止業(yè)務(wù)中斷）

1. 在 API 密鑰列表中，找到待重置的密鑰，點(diǎn)擊操作列的禁用
2. 彈出確認(rèn)框，勾選 “我已確認(rèn)...”，點(diǎn)擊確定
3. 驗(yàn)證：密鑰狀態(tài)變?yōu)?span style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-size-adjust: none; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-variant-position: normal; font-variant-emoji: normal; font-stretch: normal; font-weight: 700; line-height: 24px; flex: 0 1 auto; flex-direction: row; justify-content: normal; align-items: normal; padding: 0px; margin: 0px; background: none 0% 0% / auto repeat scroll padding-box border-box rgba(0, 0, 0, 0);">已禁用（此時(shí)業(yè)務(wù)會(huì)中斷，需快速推進(jìn)）

步驟 3：刪除舊密鑰（徹底淘汰，釋放額度）

1. 對(duì)已禁用的密鑰，點(diǎn)擊操作列的刪除
2. 二次確認(rèn)：“API 密鑰刪除后無法恢復(fù)，是否繼續(xù)？” → 點(diǎn)擊確定
3. 限制說明：每個(gè)子賬號(hào)最多創(chuàng)建2 個(gè)密鑰，刪除舊密鑰后才能新建

步驟 4：創(chuàng)建新 API 密鑰（核心步驟）

1. 點(diǎn)擊 API 密鑰頁左上角新建密鑰（藍(lán)色按鈕）
2. 完成主賬號(hào)二次驗(yàn)證（微信掃碼 / 短信，安全強(qiáng)制要求）
3. 系統(tǒng)生成新的SecretId和SecretKey，彈出保存窗口
4. 立即保存（不可逆）：
   • 復(fù)制 SecretId/SecretKey 到密碼管理器
   • 點(diǎn)擊下載 CSV備份到本地安全目錄
5. 點(diǎn)擊確定關(guān)閉窗口（關(guān)閉后無法再次查看該 SecretKey）

步驟 5：業(yè)務(wù)切換與舊密鑰清理

1. 先更新后停用：在所有使用舊密鑰的系統(tǒng)中配置新密鑰（如 CDN 預(yù)熱查詢腳本）
2. 測(cè)試新密鑰可用性（調(diào)用 DescribeCdnRefreshTasks API 驗(yàn)證權(quán)限）
3. 確認(rèn)業(yè)務(wù)正常后，徹底刪除舊密鑰（已禁用可直接刪除）
4. 記錄操作：在 CAM 日志中標(biāo)記 “密鑰重置 - 子賬號(hào) xxx - 用途 xxx”

三、場(chǎng)景二：子賬號(hào)自助重置 API 密鑰（需主賬號(hào)授權(quán)）

前置條件：主賬號(hào)授予自助管理權(quán)限

1. 主賬號(hào)進(jìn)入子賬號(hào)詳情頁 → 權(quán)限標(biāo)簽 → 添加權(quán)限
2. 搜索并關(guān)聯(lián)策略：QcloudCollApiKeyManageAccess（子賬號(hào)自助管理自身密鑰必需）
3. 可選添加QcloudCDNReadOnlyAccess（CDN 查詢權(quán)限，保持最小權(quán)限）

子賬號(hào)自助重置步驟

1. 子賬號(hào)登錄控制臺(tái)，訪問API 密鑰管理頁
2. 同主賬號(hào)操作：禁用舊密鑰 → 刪除舊密鑰 → 新建密鑰
3. 保存新密鑰并更新業(yè)務(wù)系統(tǒng)，完成后清理舊密鑰
4. 注意：子賬號(hào)僅能管理自身密鑰，無法操作其他子賬號(hào)

四、重置后的關(guān)鍵配置與驗(yàn)證

1. 權(quán)限校驗(yàn)（防止重置后權(quán)限異常）

2. 業(yè)務(wù)系統(tǒng)密鑰更新清單（示例）

五、安全管理與風(fēng)險(xiǎn)控制（生產(chǎn)環(huán)境必執(zhí)行）

1. 密鑰重置安全最佳實(shí)踐

2. 子賬號(hào)密鑰數(shù)量限制與管理

• 每個(gè)子賬號(hào)最多創(chuàng)建2 個(gè)密鑰（輪換時(shí)可同時(shí)存在 2 個(gè)，確保業(yè)務(wù)不中斷）
• 建議：一個(gè)密鑰用于生產(chǎn)，一個(gè)用于測(cè)試 / 備用，避免混用

六、常見問題與解決方案

1. 子賬號(hào)無法創(chuàng)建新密鑰（提示 “已達(dá)上限”）

• 原因：子賬號(hào)已有 2 個(gè)密鑰（禁用 / 啟用狀態(tài)均計(jì)入）
• 解決：禁用并刪除一個(gè)舊密鑰，釋放額度后重試

2. API 調(diào)用提示 “鑒權(quán)失敗”（重置后）

• 排查步驟：
  1. 核對(duì)新 SecretId/SecretKey 是否正確（無空格 / 拼寫錯(cuò)誤）
  2. 檢查密鑰狀態(tài)是否為啟用
  3. 確認(rèn)子賬號(hào)權(quán)限包含QcloudCDNReadOnlyAccess
  4. 測(cè)試網(wǎng)絡(luò)連通性（CDN API 域名：cdn.api.qcloud.com）

3. 子賬號(hào)無法自助重置密鑰

• 原因：主賬號(hào)未授予自助管理權(quán)限
• 解決：主賬號(hào)為子賬號(hào)添加QcloudCollApiKeyManageAccess策略

4. 重置后業(yè)務(wù)中斷

• 預(yù)防方案：
  1. 制定 “密鑰輪換計(jì)劃”，明確時(shí)間窗口（如凌晨低峰期）
  2. 先在測(cè)試環(huán)境驗(yàn)證新密鑰
  3. 生產(chǎn)環(huán)境采用 “雙密鑰并行”：先配置新密鑰，驗(yàn)證成功后再刪除舊密鑰

七、快速操作清單（一鍵核對(duì)）