etcd 集群 CA 轮换后旧客户端仍持旧证书，如何在不停机前提下完成切换且不留安全窗口？

【背景】 我负责一套生产 etcd 集群（v3.5.6，3 节点，跨 2 可用区），承载 K8s 1.28 的 etcd 后端 + 自研 2 个 Go 服务（直连 etcd 做配置中心）。当前 TLS 配置：

• etcd server：--cert-file + --peer-cert-file，CA 自签（自研 PKI，RSA-2048）
• 客户端：Go etcdclientv3，tls.Config 里 RootCAs 指向 CA 证书文件，ClientCAs 指向客户端证书
• 证书有效期 1 年，到期前 30 天告警，目前靠人工换文件 + 重启

【现象与风险】 安全审计要求 CA 每 90 天轮换一次。核心卡点：

1. etcd server 端：--trusted-ca-file 只接受一个 CA 文件，无法像 OpenSSL CAfile 那样追加多个 CA 做"双 CA 并存"过渡期。
2. 客户端：Go 的 x509.CertPool 理论上可以 AppendCertsFromPEM 追加旧 CA，但 etcdclientv3 的 WithTLS 初始化后不会热更新 TLS 配置——长连接（watch）仍握旧证书，新连接走新 CA，窗口期内新旧混跑。
3. peer 通信：--peer-trusted-ca-file 同样单 CA，3 节点要逐个滚动，中间态 peer 间 mTLS 校验可能失败。

【已尝试的排查】

• 方案 A：etcdutl snapshot restore 重建集群 → 停机窗口 >15min，不可接受。
• 方案 B：客户端 x509.CertPool 追加旧 CA + 新 CA → 解决了客户端侧，但 etcd server 端 --trusted-ca-file 只能指一个文件，无法同时信任新旧两个 CA。
• 方案 C：用 etcdctl 动态更新 member 证书 → etcd 3.5 不支持运行时更新 TLS 证书，必须重启。

【期望得到的答案形态】

1. etcd server 端"双 CA 并存"的可行路径（是否支持 --trusted-ca-file 追加、或有没有其他机制）；
2. 3 节点滚动重启的最优顺序（先哪个节点、间隔多久、如何避免 quorum 丢失）；
3. 客户端 watch 长连接在 CA 切换后的具体行为（是否立即断开、是否有自动重连）；
4. 有没有生产环境验证过的完整 runbook（含验证命令，如 etcdctl endpoint status、etcdctl endpoint health、客户端日志关键字）。

欢迎有 etcd 集群安全加固实操经验的同学分享，特别是踩过的坑。