密钥管理(KMS)——轮换、分级、HSM 硬件安全模块所有生产密钥必须按"根密钥 → KEK → DEK"三层分级管理,业务数据一律用信封加密(KMS 只保护密钥,绝不直接加密数据);对称密钥开启 KMS 自动轮换(默认 365 天,2024 年后支持 90-2560 天自定义),DEK 按"对象"或"用户"粒度派生,绝不为每条记录调一次 KMS;高价值根密钥用 FIPS 140-3 Level 3 的 HSM 保护,根密钥生成与备份必须走 M-of-N 多人控制仪式(Shamir 分片 + 双人双密),绝不让单人掌握完整根密钥;密钥策略走"控制面/数据面职