网关凭据吊销与重新登记恢复

权威来源：AetherCloud。此页面镜像到统一的 AetherIoT 文档中。

当网关凭据可能遗失、被复制、已吊销或绑定在被替换的硬件上时，请查阅本页。本页说明隔离措施和证据要求，并不代表当前已经存在可执行的凭据吊销流程。

当前已经实现

• 网关注册、登记声明签发、登记声明领取和状态查询已经具备领域层与应用层实现，并有内存和 PostgreSQL 基础。
• PostgreSQL 路径能够在同一事务中记录聚合状态、审计证据和发件箱事件。
• 当可信凭据来源把凭据标记为已暂停或已吊销时，CloudLink 凭据验证能够拒绝该凭据。

这些基础不等于生产凭据管理机构，也不提供公开恢复命令。

尚未实现

AetherCloud 目前没有凭据暂停、吊销、轮换、恢复或重新登记的应用能力。生产凭据绑定、证书签发、吊销信息分发、恢复审批、证书机构与密钥管理服务集成以及公开接口仍在规划中。不得用登记声明签发来冒充这些尚不存在的控制能力。

安全处置

1. 停止为受影响的网关签发新的登记声明。
2. 保存租户、项目、网关、凭据代次、会话和事件证据。不得把原始声明令牌放入智能体上下文、日志或工单。
3. 如果生产环境已有权威的身份系统、消息代理或证书控制，应通过该控制隔离旧凭据。
4. 永久隔离旧凭据代次。不得重新激活旧材料，也不得静默地把网关迁移到其他租户。
5. 只有未来受治理的恢复用例才能创建新的声明和新的凭据代次，并且必须独立审批和审计。
6. 恢复后必须建立新的已认证 CloudLink 会话，并在接受新上行消息前核对云端游标。

人工升级

疑似泄露、登记响应遗失、硬件替换、所有权冲突或任何跨租户歧义都必须由安全人员批准。在生产吊销用例实现之前，智能体必须明确报告“当前无法执行恢复”，不能把登记声明签发描述成完整恢复。

继续阅读网关身份与登记、CloudLink 协议参考和物联网云能力地图。