https://docs.cloud.google.com/iam/docs/key-rotation
- 大前提: そもそも鍵を使わない方法（Workload Identity Federation など）を優先する
- 使うなら少なくとも 90 日ごとにローテーション。漏洩の疑いがあれば即時
- 手順: 対象の鍵を特定 → 新しい鍵を作成 → アプリ側を差し替え → 古い鍵を無効化して様子見 → 削除
- いきなり削除せず「無効化」を挟むのは、壊れたらすぐ戻せるようにするため
- 期限付きの鍵でローテーションを代用するのは NG（差し替え漏れで障害になる）
「期限付きの鍵でローテーションを代用するのは NG」について、差し替え漏れで障害になるのはそれはそう。だけど、期限を設定しないのはキーが外部に漏れた際のリスクが大きすぎる気がする…このあたりは、絶対的な正解があるわけではなく、それぞれの組織のセキュリティ要件に拠りそうな気はする。