用途
该技能面向在 Oracle Cloud Infrastructure（OCI）Vault 中管理密钥的场景，帮助开发者正确存储密钥、排查密钥获取错误、实现密钥轮换、配置实例主体认证以及缓存密钥。
主要能力
- 提供 OCI Vault 与 Secrets Management 的“绝不要做”清单，包括：写入临时密钥文件前先设置权限（避免竞态条件）、避免过宽的 IAM 密钥策略、必须缓存密钥、使用 BASE64 编码而非已弃用的 PLAIN、不硬编码 Vault OCID、不记录密钥内容。
- 说明 IAM 权限要点：密钥获取需要同时具备
read secret-family和use keys两项权限，缺少use keys会导致令人困惑的 403 错误。 - 解释 Vault 层级结构：Vault（容器）→ 主加密密钥 → Secret（加密数据）→ Secret 版本（随时间轮换）。
- 区分不同服务的命令：Vault 操作用
oci kms management vault ...，密钥操作用oci kms management key ... --endpoint <vault-management-endpoint>，Secret 操作用oci vault secret ...（不是oci kms）。 - 提供密钥获取错误决策树，覆盖 401、403、404、500 状态码的排查路径。
- 说明零停机密钥轮换方法：使用
oci vault secret update-base64创建新版本而非删除重建，OCID 不变，应用在下次缓存刷新时获取新版本，旧版本保留用于回滚。 - 给出缓存 TTL 选择建议：高安全要求（每日轮换）用 5-15 分钟，标准（每月轮换）用 30-60 分钟，开发/测试不缓存；规则是缓存 TTL 必须小于密钥轮换窗口。
- 列出 OCI 特有注意事项：密钥操作需要 Vault 管理端点、Secret bundle 需要显式 base64 解码、并非所有 OCI 区域都有 Vault 服务、跨区域访问增加 10-50ms 延迟。
- 提供实例主体认证的生产模式：创建动态组、授予 Vault 访问权限（两项策略）、应用代码无需凭据。
使用方式
该技能以参考文档形式提供，包含代码示例和命令示例。当需要全面的 Vault/KMS API 文档、HSM 支持的密钥保护设置、跨区域密钥复制或 Oracle 官方 Vault 架构指导时，可加载 references/oci-vault-reference.md。
适用场景
- 在 OCI Vault 中存储密钥。
- 调试 401/403 密钥获取错误。
- 实现密钥轮换。
- 配置实例主体认证。
- 缓存密钥以降低成本。
限制
资料未提供该技能的安装方式、收费模式、平台支持范围或效果保证。部分内容为 OCI 特定，不适用于其他云平台。