OCI Vault MCP Server 是一个通过 MCP（模型上下文协议）访问和管理 Oracle Cloud Infrastructure Vault 密钥的技能，提供 12 个工具用于完整的密钥生命周期管理。
用途 该技能用于在 OCI Vault 中安全、可审计地管理密钥，覆盖开发、预发布和生产环境。典型用途包括：检索 API 密钥、密码、证书等敏感数据；创建新的凭据、令牌或敏感配置；管理密钥版本并维护版本历史；配置 Vault 访问；理解 OCI Vault 概念；排查认证问题；实施安全的密钥管理工作流。
主要能力 该技能提供 12 个工具，分为读取和修改两类。
读取密钥（不产生修改）：
- list_secrets：列出 Vault 中的所有密钥
- search_secrets：按名称（子串匹配）搜索密钥
- get_secret_metadata：获取特定密钥的详细元数据
- list_secret_versions：查看密钥的所有版本
- get_secret_value：检索特定版本的密钥内容
- get_secret：获取完整密钥信息（元数据 + 版本）
管理密钥（产生修改）：
- create_secret：在 Vault 中创建新密钥
- update_secret：为现有密钥创建新版本
- update_secret_metadata：更新密钥描述、标签和元数据
- delete_secret：安排密钥删除（保留期 7-30 天）
配置：
- configure_vault：设置默认 Vault 和 Compartment ID
- get_vault_config_tool：检查当前 Vault 配置
使用方式 使用前需完成设置清单：验证 OCI CLI 认证可用；设置环境变量（OCI_VAULT_ID、OCI_COMPARTMENT_ID）；测试与 Vault 的连接。
所需配置包括：
- OCI CLI 认证：设置 oci session authenticate 或 API 密钥认证
- 环境变量：OCI_CONFIG_PROFILE（OCI CLI 配置文件名称）、OCI_VAULT_ID（Vault 的 OCID，如 ocid1.vault.oc1.phx...）、OCI_COMPARTMENT_ID（Compartment 的 OCID）
- IAM 权限：OCI 用户需具备 MANAGE_VAULTS、READ_SECRETS、CREATE_SECRETS、UPDATE_SECRETS、DELETE_SECRETS 权限
常见操作示例：
- 列出所有密钥：使用 list_secrets
- 按名称搜索密钥：使用 search_secrets
- 获取密钥详情：使用 get_secret
- 创建新密钥：使用 create_secret
- 更新密钥版本：使用 update_secret
- 更新密钥元数据：使用 update_secret_metadata
- 删除密钥：使用 delete_secret 并指定保留期
重要概念
- 密钥版本：OCI Vault 保留密钥的所有历史版本。使用 update_secret 更新后，新内容成为当前版本，旧版本仍可访问。
- 删除保留期：删除密钥时不会立即移除，而是安排删除并设置 7-30 天的保留期，期间可取消删除。
- 内容类型：支持 application/octet-stream（默认）、text/plain、application/json、application/pkcs8。
- Compartment 与 Vault：Compartment 是 OCI 资源的逻辑分组，用于组织和访问控制；Vault 是 Compartment 内密钥的容器，同一 Compartment 可存在多个 Vault。
最佳实践
- 使用描述性名称，清晰表明用途（如 prod-db-password、slack-webhook-token）
- 使用标签按环境、团队或应用组织密钥
- 保持版本历史整洁，避免创建不必要的版本
- 使用 IAM 策略限制可访问特定密钥的人员
- 实施密钥轮换策略，定期更新密钥
- 启用审计日志，跟踪谁在何时访问了哪些密钥
- 遵循最小权限原则，授予用户和应用最低必要权限
- 切勿在日志、错误消息或文档中暴露密钥值
- 删除密钥时使用合理的保留期（7-30 天）
- 为不同环境（生产、预发布、开发）使用独立的 Vault/Compartment
适用场景 适用于需要访问 OCI Vault 中的密钥、创建新密钥、管理密钥版本、配置 Vault 访问、理解 OCI Vault 概念、排查认证问题以及实施安全密钥工作流的场景。
限制 使用前必须完成 OCI CLI 认证配置、环境变量设置和 IAM 权限授予。删除操作存在 7-30 天保留期，不会立即移除。具体收费、价格、平台支持范围等资料暂未提供。