如何在SafeW中为CI/CD流水线配置密钥自动续期？

功能定位：为什么要在 SafeW 里管 CI/CD 密钥

传统流水线把私钥或 API Token 写进环境变量，到期前人工轮换，一旦遗忘就是全网事故。SafeW 的「合规即代码」模块把密钥托管在 TEE 内部，配合企业面板的续期策略，可在链上发布新公钥哈希并自动重写 safe-secrets.yml，实现「私钥不落地、续期不碰人」。

核心关键词「SafeW 自动续期」解决的是「长期有效」与「最小权限」之间的张力：既要让构建服务器持续有签名能力，又不能让同一密钥存活超过 90 天。SafeW 用 MPC 分片+链上可验证日志，把轮换动作拆成「创建新分片→多签批准→旧分片作废」三步，任何一步失败都可原子回滚。

前置条件与版本边界

1. 企业组织需开通「合规即代码」插件，入口：SafeW Console → Organization → Compliance → Compliance-as-Code，开关状态为 Active。
2. 移动端需升级至「截至当前的最新版本」，否则旧版蓝牙签名协议无法识别新公钥。
3. 流水线运行环境需支持 safe-cli v2.7+，低于此版本缺少 rotate 子命令。

警告：若组织未启用多签，系统会强制把续期阈值设为 1/1，虽然能跑通，但失去「任何单点无法私自换钥」的保护，建议至少 2/3。

方案 A：图形化向导（推荐新手）

步骤 1：创建密钥模板

桌面端路径：Console → Secrets → Templates → New Template → Type 选「CI/CD ECDSA」。在「Rotation」标签页把「Auto-rotate」打开，周期选 30/60/90 天三档，系统会自动写入链上可验证声明（VC）。

步骤 2：绑定流水线

同一界面切「Usage」标签，点「Add CI」，按提示输入仓库地址（支持 GitHub/GitLab/Bitbucket），Console 会返回三个变量：

• SAFEW_ORG_ID
• SAFEW_SECRET_ID
• SAFEW_API_ENDPOINT

把它们写进仓库的 variables 或 secrets，即可完成绑定。首次构建时，Runner 会通过 OIDC 交换短时令牌，从 TEE 拉取分片，全程私钥不经过云端日志。

方案 B：CLI 原生声明（进阶）

若流水线已大量采用 Infrastructure-as-Code，可把续期策略写成 safe-rotation.tf：

resource "safew_secret" "ci_key" {
  template_id = safew_template.ecdsa.id
  rotate_days = 30
  quorum      = 2
  approvers   = [data.safew_identity.lead.id, data.safew_identity.secops.id]
}

执行 safe-cli apply 后，系统会输出「rotation_tx_hash」。把该哈希写进 README，方便审计追踪。

提示：CLI 方案可在 Air-Gap 环境离线签名，再把交易包拷贝到联网机广播，满足更高等级隔离要求。

监控与验收：如何证明续期真的发生

指标 1：链上事件

Console → Audit → On-Chain Events，过滤 Method = "RotateKey"，若看到最新一笔 Status = Success 且区块高度在预期时间窗口内，即代表自动续期已上链。

指标 2：流水线运行时长

经验性观察：启用续期后，首次构建因需同步新分片，总时长可能增加约 15–25%；后续构建恢复常速。若持续超过 50%，请检查 Runner 与 SafeW 节点之间的 RTT。

指标 3：失败告警

在 Console → Alerts → Add → Event = "RotationFailed" 可订阅邮件或 Webhook。建议把 Webhook 接到 Slack 频道，并@on-call，确保 24h 内人工介入。

常见失败分支与回退

现象	最可能原因	快速回退
Runner 报 403 /key 接口	OIDC 令牌绑定的 repo 名与 Console 不一致	在 Console 重新绑定 repo 或手动校正 SAFEW_SECRET_ID
链上交易 Revert	多签阈值未达，有人离线	使用 safe-cli emergency-extend 把旧密钥生命周期延长 48h，再补齐签名
新分片拉取超时	手机蓝牙未解锁	Watch App 离线授权后，把二维码贴到 Runner 摄像头前完成一次性注入

例外与取舍：哪些场景不建议自动续期

1. 低频发布：季度才构建一次，自动续期反而增加攻击面（链上暴露次数多）。可关闭 Auto-rotate，改用「手动触发 + 48h 延迟」模式。
2. 合规冻结期：上市公司年审前 30 天通常禁止任何密钥变更，可在 Console → Compliance → Freeze 设定窗口，系统会跳过续期并记录审计备注。
3. 离线工控：某些工厂内网无法访问公链 RPC，自动续期交易广播不出去，此时应选用「Shadow Vault 离线包 + 人工搬运」方案。

与第三方 Bot 协同的最小权限原则

若用 Slack Bot 把旋转哈希推送到频道，只需给 Bot 开通 events:rotation 只读权限，切勿勾选 admin:secrets。这样即使 Bot Token 泄露，攻击者也只能读取哈希，无法批准或阻止旋转。

验证与观测方法（可复现）

1. 在测试仓库创建空提交，观察 Runner 日志是否出现 safew/key-rotated=true。
2. 复制对应的 Tx Hash 到任何 EVM 浏览器，确认 Method 为 rotateKey(bytes32 newPubKeyHash)，From 地址应属于 Console 显示的多签合约。
3. 用 safe-cli audit export --csv 下载报告，随机抽查三笔，核对链上时间戳与 CSV 是否偏差小于 2 分钟。

若三项全部通过，即可认为自动续期链路端到端可信。

适用/不适用场景清单

• 适用：日构建 ≥1 次；组织已运行 2/3 多签；审计要求密钥生命周期 ≤90 天。
• 不适用：构建环境完全离线；法律冻结期； repo 公开且无任何访问控制。

最佳实践 10 条速查表

1. 永远使用多签，阈值 ≥2。
2. 旋转周期 ≤90 天，但别短于 7 天，否则链上手续费可能高过预期。
3. Runner 与节点之间开 gRPC 压缩，降低拉取分片带宽约 30%。
4. 给每次旋转都写审计备注，方便后期搜索。
5. 冻结期前 10 天在日历提醒，人工确认是否需要临时关闭。
6. CLI 与图形界面不要混用同一 Secret ID，避免状态漂移。
7. 打开 Alert → RotationFailed，并设定升级路径：Slack → PagerDuty。
8. 定期运行 safe-cli health，检查 TEE 固件版本是否低于最低要求。
9. 测试环境先跑 30 天，再切生产，降低误报。
10. 备份 PUK 与 Shamir 碎片到异地保险柜，防止「能续期但无法恢复」的尴尬。

FAQ（结构化数据）

总结与下一步行动

SafeW 的 CI/CD 密钥自动续期把「多签审批」「链上可验证」与「TEE 隔离」串成一条闭环，既满足合规，也减少人工。若你的组织已具备 2/3 多签、构建频率稳定，且能接受链上手续费，今天就可在 Console 打开 Auto-rotate，先选 60 天周期跑 30 天观察；同时把 RotationFailed 告警接进值班系统，确保失败有人跟。走完这一步，你的流水线密钥生命周期将正式进入「无人区」——安全，且不再需要熬夜手动换钥。

展望未来两个版本，SafeW 社区正在讨论把轮换窗口缩短至 7 天并引入「零 Gas」Layer2 方案，进一步降低高频续期的成本；同时计划开放 Rotation Policy 的 JSON Schema，方便企业把策略纳入版本库评审。保持 Console 自动更新，即可在正式发布后第一时间体验。