用途：帮助用户配置 Infisical Secret Rotation，即按固定间隔替换第三方系统中已存在的长期凭据，并将新值写入 Infisical 密钥，让读取该密钥的应用始终获得有效凭据。
与相邻功能的区分：按请求临时生成、租约到期自动吊销的凭据属于 infisical-dynamic-secrets；把 Infisical 密钥推送到第三方服务属于 infisical-secret-syncs；创建轮换所依赖的 App Connection 属于 infisical-app-connections；带会话录制与签出的特权/人工账号轮换属于 infisical-pam。轮换针对的是已存在且由你拥有的账号，按定时器改其凭据并原地更新密钥。
配置顺序：先确认轮换是正确功能；再创建 App Connection（每次轮换都需通过它认证，且类型须与轮换提供方匹配，如 PostgreSQL 轮换需 postgres 连接）；选择 Provider；填写提供方专属参数（SQL 需两用户模式）；配置密钥映射，指定接收轮换值的 Infisical 密钥名；设置计划，rotationInterval 以天为单位、最小 1，另有 rotateAtUtc；确认该提供方是双阶段还是单阶段。
参考文件：rotation-overview.md 讲工作原理、双阶段与单阶段、调度、提供方列表与 API 形态；sql-databases.md 覆盖 PostgreSQL、MySQL、MSSQL、OracleDB、MongoDB、Redis 及强制两用户模式；cloud-and-saas.md 覆盖 AWS IAM、Azure、Okta、Auth0、Cloudflare、Datadog、Snowflake、Databricks、Supabase、LLM 提供方密钥；machine-accounts.md 覆盖 LDAP、Unix/Linux 本地账号、Windows 本地账号、HP iLO，均为单阶段。
限制与注意：SQL 轮换需两个已存在且授权相同的用户，Infisical 不负责创建，这是最常见失败点；单阶段提供方旧凭据在轮换瞬间失效，建议关闭自动轮换并在维护窗口操作；轮换只更新 Infisical 中的密钥，不会重启应用，需配合 Infisical Agent 的 execute.command、Kubernetes Operator 的重载行为或定时重读；不要自行生成凭据，也不要打印密钥值；双阶段仅提供额外一个间隔的宽限期，若应用缓存超过 2 倍间隔，最终会用已吊销凭据认证。