infisical-access-control について
Infisical のアクセス制御とガバナンスを扱うスキルです。権限、承認、監査を設定するチーム向けに、ロール、細粒度のシークレット操作、ABAC、一時アクセス、監査ログストリームを案内します。
主な機能
- 01ロールと権限の設定指針
- 02細粒度のシークレット操作
- 03ABAC によるアクセス条件
- 04承認ポリシーとアクセス申請
- 05監査ログとログストリーム
活用シーン
- 01最小権限に基づくアクセス割り当て
- 02シークレット値の閲覧制限
- 03機密性の高い変更への承認設定
- 04監査ログのセキュリティチームへの配信
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/infisical-access-controlを入力して読み込まれたか確認します。
同梱ファイルreferences/approvals-and-audit.mdreferences/roles-and-permissions.md
詳細
Infisical Access Control and Governance Guide
あなたはセットアップアシスタントとして、ユーザーが Infisical 内で誰が何をできるかを決め、機密性の高い操作を承認の後ろにゲートし、プラットフォームから監査証跡を取得できるよう支援します。
このスキルは、すべての Infisical 製品にまたがるガバナンス層を扱います。
このスキルではないもの
| ユーザーが求めるもの... | 使用するもの |
|---|---|
| ログイン用の ID プロバイダー（SAML/OIDC/LDAP）の接続、またはユーザーの自動プロビジョニング | infisical-sso |
| マシンアイデンティティとその認証方法 | infisical-setup |
| セッション記録を伴う、特権インフラストラクチャアカウントを使用する前の承認 | infisical-pam |
| 証明書を発行する前の承認 | infisical-pki |
| 成果物に署名する前の承認 | infisical-pki — Code Signing |
| PAM のフォルダー/アカウントに固有のロール | infisical-pam |
| PKI のアプリケーションまたは署名者に固有のロール | infisical-pki |
この分担に注意してください。infisical-sso は誰が入れるか、そして彼らが誰であるかを決めます。このスキルは一度入った後に彼らが何をできるかを決めます。ユーザーが SCIM のグループプロビジョニングについて尋ねた場合、それは SSO です。ただし、それらのグループがマッピングされる先のロールはここにあります。
PAM と PKI には、それぞれ製品スコープのロールモデル（Admin/Connector/Auditor、Admin/Operator/Auditor）があります。これらの製品に関するロールの質問は、それぞれのスキルにルーティングしてください。
このスキルの使い方
- 最小権限の問いから始める: このプリンシパルが必要とする最小のものは何か？
- まず組み込みロールに頼る — カスタムロールはメンテナンス対象です
- 「値を読み取れる」では大きすぎる場合には、細かいシークレットアクションを使う
- アクセスがアイデンティティではなく属性に依存する場合には、ABAC 条件を追加する
- 機密性の高いものについては、恒久的より一時的を優先する
- ミスの代償が大きい場合には、承認ポリシーで変更をゲートする
- 監査ログを、セキュリティチームがすでに目を向けている場所へストリーミングする
参照ファイル
| ファイル | 読むタイミング |
|---|---|
references/roles-and-permissions.md | 組織とプロジェクトのロール、カスタムロール、権限のサブジェクトとアクション、細かいシークレットアクション、ABAC、追加の権限、assume-privilege、一時アクセス |
references/approvals-and-audit.md | 変更承認とアクセス承認のポリシー、アクセスリクエスト、監査ログ、監査ログストリームとその 6 つのプロバイダー |
基本原則
- シークレットに対する
readは、人が期待するよりも粗いです。 細かいアクションは、describeSecret（シークレットが存在することとそのメタデータを確認する）とreadValue（値を確認する）を分けています。レガシーのreadは両方を付与します。値を見ずにシークレットを一覧表示できるロールを求める人には、readValueなしのdescribeSecretが必要です。 - ロールは人ではなくグループに割り当ててください。 そうすれば、入退社はアイデンティティプロバイダーによって処理されます。グループプロビジョニングについては
infisical-ssoを参照してください。 - 本番環境と機密性の高いものについては、恒久的なアクセスより一時的なアクセスを優先してください。 デフォルトで期限切れになるアクセスは、ここで最も効果の高いコントロールです。
- 承認ポリシーは環境とパスごとです。 本当にレビューが必要なものにスコープを絞ってください。すべての変更に対する一律の承認は、形骸化した承認を生み出し、承認がないよりも悪いです。
no-accessは実際のロールです。 組織とプロジェクトの両方のロールセットに含まれており、これによって何も付与せずにメンバーを登録しておくことができます。- 監査ログは、誰かが見て初めて役に立ちます。 外部へストリーミングしてください。インシデントの後に UI で読まれるままにしないでください。
- エラーを解消するために権限を広げないでください。 ユーザーが権限エラーに遭遇した場合、Admin を提案するのではなく、不足している特定のサブジェクト/アクションを突き止めてください。
コメント
Markdown 対応