SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场infisical-dynamic-secrets

infisical-dynamic-secrets

安全与审计

查看项目

更新于 10-15 02:08

技能介绍

用途

Infisical Dynamic Secrets 指南是一个设置助手技能，帮助用户配置 Infisical Dynamic Secrets——按需生成、短期有效、每个身份唯一且自动过期的凭证。

该技能首先要求明确区分动态密钥与密钥轮换：

  • 动态密钥：Infisical 为每个租约创建一个全新的短期凭证，每个消费者拿到不同的凭证，未请求前不存在任何凭证。本技能即针对此场景。
  • 密钥轮换：对用户已有的凭证按定时器进行更改，所有消费者在固定的密钥路径读取。这属于 infisical-secret-rotation。

典型判断："我想为每个 CI 任务使用临时凭证"属于动态密钥；"我们的 Postgres 密码两年没换过"属于轮换。

主要能力

该技能覆盖约 30 种提供方，并按类别提供参考文件：

  • references/overview.md：当用户询问动态密钥的工作原理、概念、租约生命周期或有哪些提供方时阅读。
  • references/sql-databases.md：当用户需要 PostgreSQL、MySQL、MSSQL、Cassandra、Oracle、SAP ASE/HANA、Snowflake、Vertica、ClickHouse 或 Azure SQL 的动态凭证时阅读。
  • references/nosql-and-cache.md：当用户需要 Redis、AWS ElastiCache、AWS MemoryDB、MongoDB、MongoDB Atlas、Elasticsearch、Couchbase、RabbitMQ 或 Milvus 的动态凭证时阅读。
  • references/cloud-iam.md：当用户需要动态 AWS IAM 用户/凭证、GCP 服务账号令牌或 Azure Entra ID 凭证时阅读。
  • references/ssh-and-kubernetes.md：当用户需要 SSH 证书、Kubernetes 服务账号令牌、LDAP、GitHub 令牌、Tailscale 密钥、IBM API Connect 或 TOTP 时阅读。

该技能还帮助区分相关但不同的技能：

  • 已有凭证按计划轮换：infisical-secret-rotation
  • 人类或 AI 智能体访问数据库并带会话录制、且从不看到凭证：infisical-pam
  • 在 Kubernetes 内管理租约：infisical-kubernetes-operator
  • 由 Agent 将动态凭证渲染到文件：infisical-agent
  • 访问没有公网端点的数据库：infisical-gateway
  • X.509/TLS 证书：infisical-pki（注意 SSH 证书在此，TLS 证书不在此）

使用方式

技能建议先理解用户需要为哪种资源获取动态凭证，然后引导完成以下步骤：

  1. 前置条件——需要先存在什么数据库用户、IAM 角色或服务账号。
  2. 提供方选择——选择合适的动态密钥类型。
  3. 配置——主机、端口、凭证、TTL 设置、创建语句。
  4. 租约管理——如何生成、续期和撤销租约。
  5. 网关设置——如果访问私有资源（位于 VPN/VPC 后的数据库）。

随后阅读用户提供方对应的参考文件，并逐步引导。

指导原则

  • 为安全使用短 TTL：建议尽可能短的实用 TTL。动态密钥本应是短暂的——分钟到小时级，而非天级。
  • 私有网络使用网关：如果数据库位于 VPC/私有子网，需要在同一网络部署 Infisical Gateway。这是企业版功能。
  • 需要预先存在的管理员用户：用户必须拥有数据库管理员用户（或 IAM 角色），供 Infisical 用来创建/撤销动态凭证。Infisical 不会代为创建。
  • SQL 语句很重要：对于 SQL 数据库，默认创建语句会授予宽泛权限。建议自定义以遵循最小权限（特定表、只读等）。
  • 部分令牌无法撤销：GCP 服务账号令牌和 Kubernetes 令牌是带有内置过期时间的 JWT——在 Infisical 中撤销租约只会移除记录，但令牌在 TTL 到期前仍然有效。应强调使用短 TTL。
  • SSH 证书无法续期：TTL 在签名时即已固定。用户必须创建新租约以获得新证书。
  • AWS STS 有时长限制：AssumeRole 最长 1 小时；Access Key/IRSA 最长 12 小时。超出时 Infisical 会自动调整。

适用场景

适用于需要为数据库、云 IAM、SSH 和 Kubernetes 等资源配置按需、短期、每身份唯一的动态凭证的场景，尤其是希望为每个 CI 任务或每个消费者提供独立临时凭证的情况。

限制

  • 需要预先存在的管理员用户或 IAM 角色，Infisical 不会代为创建。
  • 访问私有网络资源需要 Infisical Gateway，且为企业版功能。
  • 部分令牌（GCP 服务账号令牌、Kubernetes 令牌）无法真正撤销，只能等待 TTL 到期。
  • SSH 证书无法续期，必须新建租约。
  • AWS STS 有最长时长限制，超出时由 Infisical 自动调整。
  • 关于具体收费、价格、平台支持范围等细节，资料中暂未提供。