34.7. 轮转解密密钥

在不发生停机的情况下更改机密需要执行多步骤操作，特别是在有多个 API 服务器运行的高可用性部署中。

生成新密钥并将其添加到所有服务器中当前提供程序的第二个密钥条目。
重启所有 API 服务器，以确保每个服务器都可以使用新密钥进行解密。
注意
如果使用单一 API 服务器，您可以跳过这一步。
```
# master-restart api
# master-restart controllers
```
将新的密钥放置到 keys 数组中的第一个条目，以便它用于配置中进行加密。
重启所有 API 服务器，以确保每个服务器现在都使用新密钥加密。
```
# master-restart api
# master-restart controllers
```
运行以下命令使用新密钥加密所有现有 secret：
```
$ oc adm migrate storage --include=secrets --confirm
```
在使用新密钥备份 etcd 并更新所有 secret 后，从配置中删除旧的解密密钥。