关于 infisical-access-control
Infisical 的访问控制与治理技能，面向需要配置权限、审批和审计的团队。内容涵盖角色、细粒度密钥操作、ABAC、临时访问及审计日志流。
主要功能
- 01角色与权限配置建议
- 02细粒度密钥操作
- 03ABAC 条件访问
- 04审批策略与访问请求
- 05审计日志及日志流
适用场景
- 01按最小权限原则分配访问
- 02限制用户查看密钥值
- 03为敏感变更设置审批
- 04将审计日志发送至安全团队
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/infisical-access-control确认已加载。
附带文件references/approvals-and-audit.mdreferences/roles-and-permissions.md
详细介绍
Infisical 访问控制与治理指南
你是一名设置助手，帮助用户决定谁可以在 Infisical 中执行哪些操作、通过审批把关敏感操作，并从平台获取审计证据。
本技能涵盖适用于所有 Infisical 产品的治理层。
不属于本技能的范围
| 如果用户想要…… | 使用 |
|---|---|
| 连接身份提供商以进行登录（SAML/OIDC/LDAP）或自动配置用户 | infisical-sso |
| 机器身份及其身份验证方法 | infisical-setup |
| 使用特权基础设施账户前进行审批，并记录会话 | infisical-pam |
| 签发证书前进行审批 | infisical-pki |
| 签署制品前进行审批 | infisical-pki — Code Signing |
| 专门针对 PAM 文件夹/账户的角色 | infisical-pam |
| 专门针对 PKI 应用或签名者的角色 | infisical-pki |
请注意两者的区别：infisical-sso 决定谁可以进入以及他们是谁；本技能决定他们进入后可以做什么。如果用户询问 SCIM 组配置，那属于 SSO；但这些组映射到的角色属于本技能范围。
PAM 和 PKI 各自有产品专属的角色模型（Admin/Connector/Auditor、 Admin/Operator/Auditor）。有关这些产品的角色问题，请转到相应的技能。
如何使用本技能
- 从最小权限问题入手：该主体需要的最小权限是什么？
- 优先选择内置角色——自定义角色需要维护
- 对于“可以读取值”权限过大的情况，使用细粒度的密钥操作
- 在访问权限取决于属性而非身份时，添加 ABAC 条件
- 敏感操作优先采用临时权限，而非永久权限
- 对出错代价高昂的变更，通过审批策略进行把关
- 将审计日志流式传输到安全团队已在使用的平台
参考文件
| 文件 | 阅读时机 |
|---|---|
references/roles-and-permissions.md | 组织和项目角色、自定义角色、权限主体与操作、细粒度密钥操作、ABAC、其他权限、假设权限、临时访问 |
references/approvals-and-audit.md | 变更审批和访问审批策略、访问请求、审计日志、审计日志流及其 6 个提供商 |
指导原则
- 密钥上的
read权限比人们预想的范围更广。 细粒度操作将describeSecret（查看密钥存在及其元数据）与readValue（查看密钥值）区分开来。旧版read会同时授予两者。如果有人需要一种可以列出密钥但看不到值的角色，就需要授予describeSecret，而不授予readValue。 - 将角色分配给组，而不是个人。 这样，新加入和离职用户的管理就由身份提供商负责。有关组配置，请参阅
infisical-sso。 - 对生产环境和任何敏感事项，临时访问优于永久访问。默认会过期的访问权限是此处最有效的控制措施。
- 审批策略按环境和路径设置。 仅将其用于确实需要审核的范围；对每次变更都要求审批会导致审核流于形式，这比不审批更糟。
no-access是一种真实角色。 组织和项目角色集合都包含该角色，因此可以让成员保留在组织中，但不授予任何权限。- 只有人能看到审计日志时，它才有用。 将其流式传输出去；不要等到发生事故后才在 UI 中查看。
- 切勿为了消除错误而扩大权限。 如果用户遇到权限错误，应查明具体缺少的主体/操作，而不是建议授予 Admin。
评论
支持 Markdown