安全团队拥有针对代码、终端、云基础设施、身份和密钥管理的工具。凭证贯穿所有这些领域。当开发者在代码库中发现一个 AWS 密钥时，第一步显而易见：将其移除。但这并不能回答安全团队此刻所面临的问题：该密钥是否仍然有效？它的所有者是谁？它能访问什么资源？同样的凭证是否还存在于 CI/CD 变量、本地 .env 文件、Slack 线程中……