关于 secrets-management
面向获授权系统的密钥管理技能，指导设计或修复密钥检索、CI 凭据、工作负载身份、访问策略和轮换流程。强调最小权限、避免暴露密钥值，并验证失败与恢复路径。
主要功能
- 01选择现有密钥存储后端
- 02配置工作负载身份与访问限制
- 03规划凭据轮换和回滚
- 04检查日志与产物中的密钥泄露
- 05验证授权、拒绝和失败路径
适用场景
- 01为部署任务设计数据库凭据检索
- 02限制不同工作负载和环境的密钥访问
- 03测试凭据轮换及恢复流程
- 04排查日志或构建产物中的密钥暴露
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/secrets-management确认已加载。
附带文件references/vault-setup.mdreferences/github-secrets.md
详细介绍
密钥管理
何时使用
为已获授权的系统设计或修复密钥获取、CI 凭据、工作负载身份、访问策略与轮换机制。
输入
确定密钥名称与所有者、使用方、环境、认证机制以及轮换/恢复策略。检查配置时不要显示具体值。
过程
- 选择现有的受支持后端：Vault、云密钥管理器或主机的受保护密钥存储。明确环境边界与最小权限。
- 对于 Vault，阅读
references/vault-setup.md。开发模式和 root token 不是生产配置。 - 对于 GitHub Actions，阅读
references/github-secrets.md。将拉取请求验证与特权任务分开。将值提供给使用方进程，绝不要将其插值到生成的 shell 源码中，也不要为调试而打印它们。 - 当后端支持时，优先使用短期工作负载身份。在启用获取之前，检查颁发者、受众、工作负载/环境限制以及被拒绝的访问。
- 通过准备、使用方切换、验证和旧凭据吊销进行轮换。使用后端支持的轮换协议；重试不得使数据库和密钥存储停留在不同的凭据上。
- 使用合成的密钥标记检查日志、错误路径、构建产物和崩溃报告。记录操作、主体和结果等元数据，而不是具体值。
示例
一次部署需要数据库凭据。受信任的任务通过配置的身份获取它，并仅将其传递给迁移进程。在预发环境测试访问缺失和身份过期的情况。验证输出中不出现任何凭据，并确认轮换失败后仍保留可恢复的可用状态。
验证
- 已获授权的获取成功；不同的工作负载或环境被拒绝。
- 凭据缺失时按失败关闭（fail closed），且不暴露具体值。
- 使用合成数据演练轮换和回滚。
- 日志和构建产物中不包含密钥标记，包括在失败时。
- 已泄露的凭据被吊销或轮换；仅删除其日志条目是不够的。
限制
脱敏无法让记录密钥变得安全。密钥数据可能残留在基础设施状态、子进程环境或备份中；请明确审查这些边界。未经授权，不要更改真实凭据或部署密钥基础设施。
来源
评论
支持 Markdown