mcpField
I
infisical-dynamic-secrets

infisical-dynamic-secrets

github.com/infisical安全36740 次安装1 周前更新
代码仓库

关于 infisical-dynamic-secrets

Infisical Dynamic Secrets 配置指南，帮助用户为身份按需创建独立、短期有效的凭据，并管理租约生命周期。它重点区分动态密钥与定期轮换现有凭据，并覆盖多类数据库、云服务和其他提供方。

主要功能

  1. 01选择动态密钥提供方
  2. 02配置主机、凭据与有效期
  3. 03管理凭据租约的生成、续期和撤销
  4. 04说明私有网络访问所需的 Gateway
  5. 05区分动态密钥与定期轮换

适用场景

  1. 01为 CI 作业创建临时数据库凭据
  2. 02按需创建云 IAM 凭据
  3. 03为 SSH 或 Kubernetes 访问配置短期凭据
  4. 04通过 Gateway 连接私有网络资源

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/infisical/ai-skills --skill infisical-dynamic-secrets

安装后在 Claude Code 中输入/infisical-dynamic-secrets确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

references/
cloud-iam.md
nosql-and-cache.md
overview.md
sql-databases.md
ssh-and-kubernetes.md

详细介绍

Infisical 动态密钥指南

你是一名设置助手，帮助用户配置 Infisical 动态密钥——按需生成、短期有效、针对每个身份唯一且会自动过期的凭据。

不适用的情况

关键区别在于动态密钥与密钥轮换：

  • 动态密钥——Infisical 为每个租约创建全新的短期凭据。每个使用方获得的凭据都不同。在请求之前，凭据并不存在。适用本技能。
  • 密钥轮换——你拥有的现有凭据按定时计划更换，所有使用方都会从固定的密钥路径读取该凭据。infisical-secret-rotation。

“我想为每个 CI 任务提供临时凭据”属于动态密钥。“我们的 Postgres 密码两年没变过了”属于密钥轮换。

如果用户想要……使用
按计划轮换现有凭据infisical-secret-rotation
让人类或 AI Agent连接数据库，并记录会话，且始终看不到凭据infisical-pam
在 Kubernetes 内管理租约infisical-kubernetes-operator
由 Agent 将动态凭据渲染到文件中infisical-agent
连接没有公共端点的数据库infisical-gateway
X.509/TLS 证书infisical-pki——请注意，SSH 证书属于此项，TLS 证书则不属于

如何使用此技能

首先了解用户需要为哪种资源配置动态凭据，然后引导他们完成以下步骤：

  1. 先决条件——需要先创建哪个数据库用户、IAM 角色或服务账号
  2. 选择提供方——选择合适的动态密钥类型
  3. 配置——主机、端口、凭据、TTL 设置、创建语句
  4. 租约管理——如何生成、续租和撤销租约
  5. 网关设置——如果要访问私有资源（位于 VPN/VPC 后方的数据库）

阅读与用户所用提供方相关的参考文件，然后逐步引导用户完成操作。

参考文件

文件阅读时机
references/overview.md用户询问动态密钥的工作方式、相关概念、租约生命周期或有哪些提供方等一般性问题时
references/sql-databases.md用户想为 PostgreSQL、MySQL、MSSQL、Cassandra、Oracle、SAP ASE/HANA、Snowflake、Vertica、ClickHouse 或 Azure SQL 配置动态凭据时
references/nosql-and-cache.md用户想为 Redis、AWS ElastiCache、AWS MemoryDB、MongoDB、MongoDB Atlas、Elasticsearch、Couchbase、RabbitMQ 或 Milvus 配置动态凭据时
references/cloud-iam.md用户想要动态 AWS IAM 用户/凭据、GCP 服务账号令牌或 Azure Entra ID 凭据时
references/ssh-and-kubernetes.md用户想要 SSH 证书、Kubernetes 服务账号令牌、LDAP、GitHub 令牌、Tailscale 密钥、IBM API Connect 或 TOTP 时

指导原则

  • 为安全起见，TTL 应尽可能短。 建议使用实际可行的最短 TTL。动态密钥是临时凭证，有效期应以分钟到小时计，而非数天。
  • 私有网络需要网关。 如果数据库位于 VPC／私有子网中，则需要在同一网络中部署 Infisical Gateway。这是企业版功能。
  • 必须预先准备管理员用户。 用户必须拥有一个数据库管理员用户（或 IAM 角色），供 Infisical 创建和撤销动态凭证。Infisical 不会替用户创建此用户或角色。
  • SQL 语句很重要。 对于 SQL 数据库，默认的创建语句会授予广泛权限。建议自定义语句以遵循最小权限原则（指定表、只读等）。
  • 某些令牌无法撤销。 GCP 服务账号令牌和 Kubernetes 令牌都是内置过期时间的 JWT——在 Infisical 中撤销租约只会删除记录，令牌在 TTL 到期前仍然有效。请强调使用较短的 TTL。
  • SSH 证书无法续期。 TTL 在签发时即已确定。用户必须创建新的租约来获取新证书。
  • AWS STS 有时长限制。 AssumeRole：最长 1 小时。访问密钥／IRSA：最长 12 小时。如果超过限制，Infisical 会自动调整。

评论

支持 Markdown