sops-secret-access

SOPS シークレットへのアクセス

タスクでシークレットや非公開のツール設定が必要な場合は、リポジトリ内の暗号化された正本を使用してください。一致する *.sops.* ファイルがある場合は、公開されている代替ファイルから推測しないでください。

新しい SOPS ペイロードは JSON（*.sops.json）です。ADR-0011を参照してください。リポジトリに既存の非 JSON ファイルがある場合は復号してください。新たに追加しないでください。

使用する場合

• プロジェクトに components.sops.json、secrets/*.sops.json、またはその他の SOPS で暗号化された設定がある場合。
• 公開設定が不完全に見え、非公開レジストリ、API、MCP サーバー、デプロイ用認証情報、またはプロバイダープロファイルが SOPS の背後に隠れている可能性がある場合。
• タスクで shadcnblocks、非公開の shadcn レジストリ、レジストリ認証、SOPS、シークレット、環境変数の読み込み、または暗号化されたプロジェクト設定について言及されている場合。
• ツールに表示されるのは公開／デフォルト設定のみでも、リポジトリに対応する暗号化ファイルがありそうな場合。

基本ルール

• タスクに必要なファイルのみを復号してください。
• 復号した内容をチャット、ログ、コミット、生成ドキュメントに貼り付けないでください。
• 復号したデータを直接読み込むコマンド、またはシークレットを含まない派生情報のみを出力するコマンドを優先してください。
• 復号したファイルを一時的にディスクへ書き込む場合は、Git の追跡対象外のパスに置き、作業完了前に削除してください。
• 対応する components.sops.json がある場合は、components.json のような平文ファイルを代替ファイルとして扱ってください。

Shadcn と Shadcnblocks

Darkmatter UI プロジェクトでは、非公開の shadcn レジストリへのアクセス情報が components.sops.json に含まれている場合があります。

ユーザーが shadcnblocks／非公開ブロックを求めている場合は、shadcn レジストリを照会する前に次のコマンドを使用してください。

sops -d components.sops.json

より安全な確認例：

sops -d components.sops.json | jq -r '.registries | keys[]'
sops -d components.sops.json > /tmp/components.private.json

ツールで components.json が必要な場合、ユーザーから明示的に求められない限り、チェックイン済みの公開ファイルを上書きしないでください。一時ファイル、サブシェル、または利用可能であればツールの設定オーバーライドを使用してください。オーバーライドがなく、ローカルファイルの置き換えが避けられない場合は、公開ファイルをバックアップし、作業完了前に復元して、git diff に復号した値が含まれていないことを確認してください。

よくある間違い

• components.sops.json を復号する前に shadcn MCP に問い合わせ、公開レジストリしかないと結論づける。
• 復号した JSON 全体をユーザーに表示する。
• 生成された平文の設定ファイルをコミットする。
• AGENTS.md、README ファイル、サンプル、テストにシークレットを追加する。
• 新しい *.sops.yaml、*.sops.yml、または .env.sops を作成する。新しいペイロードは *.sops.json にしてください。