工程师在提交代码时不小心把配置文件里的 SecretId 和 SecretKey 推到了公开仓库，或者收到异常地区调用告警——遇到这种突发状况，手忙脚乱地改主账号密码往往于事无补，因为攻击者走的是 API 通道。万域云整理了一份腾讯云账号密钥泄露后的五步应急处置流，帮团队在最短时间内控制影响面。
第一时间先“禁用”而非盲目改密码
API 密钥的认证独立于控制台登录密码。发现泄露迹象的第一分钟，应立即由管理员进入腾讯云 CAM 控制台定位到涉事的 SecretId，将其状态切换为“禁用”。禁用操作即时阻断该密钥的后续 API 请求，同时保留了该密钥条目以便关联检索历史调用轨迹。
配图为流程示意，非控制台截图或交易凭据。
密钥外泄应急响应五步核查表
阻断通道后，安全与运维团队应按以下顺序排查是否有资源被篡改或恶意创建：
| 应急步骤 | 控制台核查位置 | 关键处置动作 |
|---|---|---|
| 1. 阻断涉事凭据 | CAM 访问密钥管理页 | 立即禁用泄露的 SecretId，若涉事子账号密码也存疑则一并重置 |
| 2. 回溯调用轨迹 | CloudAudit 操作审计 | 按该 SecretId 筛选近期写操作（如 RunInstances、CreateUser） |
| 3. 排查新增后门 | CAM 用户列表与角色页 | 检查攻击者是否利用该密钥新建了隐蔽的子账号或生成了第二对密钥 |
| 4. 清理异常资源 | 各地域 CVM、GPU 及轻量云列表 | 全面扫描冷门地域是否被偷偷开通了高配算力实例并立即销毁 |
| 5. 轮换上线与对账 | 应用配置中心与费用中心 | 生成最小权限新密钥替换上线，核对期间消费明细并设置余额预警 |
重点巡检平常不用的海外冷门地域
利用泄露密钥创建按量高配实例的人，往往会故意挑选团队平时根本不会点进去查看的冷门地域，以此拖延被发现的时间。因此排查时不要只看默认地域，必须借助全局资源概览或账单明细扫遍所有可用地域。
配图为流程示意，非控制台截图或交易凭据。
示例：通过收敛子账号权限把损失限制在零
某开发者的测试密钥不慎出现在公开工单截图中，但由于该 CAM 子用户当初仅被授予了单个测试 COS 存储桶的只读权限，并未赋予 CVM 创建及账务权限，期间几次外部探测调用均被系统直接拒绝，未造成任何资金损失。
确认新密钥替换完成后，旧密钥还要一直留着禁用状态吗？
完成审计日志取证并确认所有正常业务均已平滑切换到新密钥后，即可将处于禁用状态的旧密钥彻底删除。
延伸阅读与办理
可继续阅读云项目权限交接清单：RAM、CAM、角色与访问密钥。需要办理时，先查看腾讯云账号服务说明，再通过万域云咨询入口说明用途与待核对事项。
官方资料
腾讯云：子账号 API 密钥管理；腾讯云：CloudAudit 入门。资料核对日期：2026-10-27。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。
