用途：按部署层级分别指导 TLS 证书与加密密钥的生命周期管理。先收集上下文，判断是自托管直接管理证书、Advanced/BYOC 管理 CMEK 密钥，还是 Standard/Basic 全托管加密，再给出对应流程。
主要能力：自托管可监控证书到期、按计划轮换节点/CA/客户端证书、向节点证书添加 DNS 名称或 IP、响应密钥泄露；Advanced/BYOC 可检查与轮换 CMEK、紧急吊销密钥、审计加密合规性；Standard/Basic 无需操作，TLS 与静态加密全托管，CMEK 不可用。
必要用法：自托管检查到期可用 cockroach cert list --certs-dir=<certs-dir>，或用 openssl x509 -in <certs-dir>/node.crt -noout -enddate，或抓取节点 Prometheus 指标 security_certificate_expiration_。轮换节点证书使用 cockroach cert create-node <hostname> <ip> <lb-hostname> <lb-ip> localhost 127.0.0.1 --certs-dir=<certs-dir> --ca-key=<ca-key-path> --overwrite，部署后对密钥文件执行 chmod 0600，CockroachDB 会自动检测新证书无需重启。CA 轮换采用新旧合并 CA 方式平滑过渡。CMEK 状态可通过 API /api/v1/clusters/<cluster-id>/cmek 或云控制台查看，轮换在云厂商 KMS 完成后自动生效，无集群停机。
适用与限制：自托管证书操作前须备份证书，密钥文件权限 0600 且属主为 cockroach 进程用户，SAN 须覆盖全部主机名、IP 与负载均衡地址；CMEK 须在创建集群时启用，且仅 Advanced 支持，吊销密钥可能使数据永久不可访问；Advanced/BYOC 的 TLS 由 Cockroach Labs 全托管，客户仅管理应用侧客户端证书。
未提供：各云厂商具体 KMS 轮换命令、部分参数的完整取值与验证细节暂未提供。