数据库凭据加密有哪些核心组成部分？

1. 凭据存储引擎

负责以密文形式持久化存储数据库凭据，通常结合密钥管理系统（KMS）的主密钥（CMK）对凭据内容进行信封加密。存储引擎需支持高可用集群部署和跨可用区容灾，确保凭据服务的连续性。腾讯云凭据管理系统（SSM）即采用此类架构，凭据内容使用 KMS 托管的主密钥加密后存储。

2. 密钥管理模块

负责加密密钥的全生命周期管理，包括密钥生成、启用/禁用、轮换、归档和销毁。密钥管理可依托硬件安全模块（HSM）或云原生密钥管理服务实现。密钥与凭据本身需分离存储，且密钥材料应受到物理或逻辑隔离保护，符合等保2.0 和商用密码应用安全性评估的相关要求。

3. 访问控制与鉴权层

结合身份与访问管理（IAM/CAM）系统，实现资源级权限控制，确保只有经授权的用户、角色或服务身份可以创建、查询、更新或删除凭据。访问操作需全程记录审计日志，满足合规追溯要求。

4. 凭据轮换引擎

按照预设周期自动更新数据库账号密码或凭据内容，并在更新完成后自动同步至所有依赖该凭据的应用节点，确保业务连续性。轮换策略支持自定义周期（如每30 天、90 天）和自主选择加密密钥。

5. 传输安全层

凭据在管理服务与应用之间的传输必须通过 TLS 安全协议加密，防止网络嗅探和中间人攻击。传输层还需校验服务端身份，确保应用连接的是真实的凭据管理服务端点。