Infisical Secret Syncs 设置助手介绍
本技能用于指导用户配置 Infisical Secret Syncs——一项将密钥从 Infisical 项目自动推送到第三方服务的功能。
适用边界（不是本技能的场景）
Secret Sync 是向外推送密钥。以下需求应转向其他技能：
- 需要同步所用的 App Connection：infisical-app-connections
- 将密钥拉取到应用、容器或流水线：infisical-setup
- 将密钥同步到 Kubernetes：infisical-kubernetes-operator
- 对已有凭据按计划轮换：infisical-secret-rotation
- 按需临时凭据：infisical-dynamic-secrets
- 将证书推送到目标：infisical-pki（PKI Syncs，属于独立功能）
- 访问私有目标：infisical-gateway
特别说明：PKI Syncs 不是 Secret Syncs。证书在 infisical-pki 下有自己的 12 个同步目标。
如何使用本技能
先了解用户想把密钥同步到哪个目标，然后引导其完成：
- App Connection——与目标服务之间已认证的连接前提
- Source——从哪个 Infisical 环境和文件夹路径同步
- Destination——目标平台相关配置（区域、vault URL、仓库等）
- Sync Options——初始同步行为、键名 schema、自动同步、删除保护
先阅读与目标相关的参考文件，再逐步引导用户。
参考文件与阅读时机
- references/sync-overview.md：用户询问同步如何工作的一般问题，或需要通用设置流程
- references/aws-gcp-azure.md：用户要同步到 AWS Secrets Manager、GCP Secret Manager 或 Azure Key Vault
- references/github-vercel-cloudflare.md：用户要同步到 GitHub（组织/仓库/环境密钥）、Vercel 或 Cloudflare Workers
- references/vault-and-others.md：用户要同步到 HashiCorp Vault，或询问其他支持的目标
指导原则
- App Connection 优先：每个同步都需要一个权限正确的 App Connection，在配置同步前先确认其存在。
- 使用精确的 API 枚举值：UI 标签与传输值不同。初始同步行为为 overwrite-destination、import-prioritize-source、import-prioritize-destination——按源/目标命名，从不按平台命名。不存在 import-prioritize-infisical 或 import-prioritize-vercel。
- 推荐 Key Schema：始终建议一个键名 schema（如 INFISICAL_{{secretKey}}），必须恰好包含一个 {{secretKey}}，{{environment}} 可选。不匹配 schema 的目标密钥不会被 Infisical 更新或删除，schema 用于限定影响范围。
- Infisical 是事实来源：提醒用户，目标上不存在于 Infisical 的密钥可能被覆盖，取决于初始同步行为。
- 迁移时导入：若目标已有密钥并正在迁移到 Infisical，建议初始同步使用 import-prioritize-destination 以免丢失现值。先确认目标是否支持导入——GitHub 和 Cloudflare Workers 不支持。
- 默认开启自动同步：说明 auto-sync 默认开启，Infisical 的变更会自动传播，也可关闭改为仅手动同步。
- 映射行为仅限 AWS Secrets Manager：one-to-one / many-to-one 只存在于该目标，不要为 GCP、Azure 等其他目标提供。
- 提醒平台特性差异：Azure Key Vault 会把下划线转换为连字符；GitHub 不支持导入密钥，其范围为 repository / organization / repository-environment，可见性为 all / private / selected；Vercel 即使在项目范围也要求 teamId，且无法导入敏感环境变量。
- 48 个目标，且没有 Jenkins 同步：若用户询问不在列表中的目标，应如实说明而不是临时发挥，可引导其使用 CLI 或 API。