用途：为 Keeper Security 代理工具包安装并配置两个官方 CLI 工具。KSM CLI（命令 ksm，包 keeper-secrets-manager-cli）用于机器密钥的检索与注入；Commander（命令 keeper，包 keepercommander）用于管理、保险库管理、PAM 与会话。按需安装其一或两者。
主要能力与安装：推荐通过 PyPI 安装以使用已发布版本。KSM CLI 工作站可执行 pip install keeper-secrets-manager-cli[keyring]，容器、CI/CD 或无头环境执行 pip install keeper-secrets-manager-cli，验证用 ksm version。Windows、macOS、Linux 另有免 Python 的二进制安装包，发布在官方 Keeper-Security/secrets-manager GitHub Releases 页面，仅从该页面下载并在提供时校验校验和或签名。Commander 执行 pip install keepercommander，验证用 keeper version；也可从官方仓库克隆后按标签安装。
首次配置：KSM CLI 需要来自 KSM 应用的 One-Time Access Token，建议通过环境变量 KSM_CLI_TOKEN 提供，避免用 --token 参数（可能出现在 shell 历史与进程列表中），随后执行 ksm profile init，并用 ksm secret list 验证访问。Commander 执行 keeper shell，输入邮箱、主密码与 2FA 码，再启用持久登录：this-device register 与 this-device persistent-login ON。
区域：US 为 keepersecurity.com（前缀 US:），EU 为 keepersecurity.eu（EU:），AU 为 keepersecurity.com.au（AU:），JP 为 keepersecurity.jp（JP:），CA 为 keepersecurity.ca（CA:），US Gov 为 govcloud.keepersecurity.us（GOV:）。
限制与注意：代理不得在聊天或生成的脚本中伪造或回显一次性令牌、主密码或保险库字段值，应让用户仅在自己的安全终端或密钥库中粘贴或注入密钥。常见问题包括未认证需重设 KSM_CLI_TOKEN 后重跑 ksm profile init、令牌过期需新建 Client Device、IP 锁定可用 --unlock-ip、无 keyring 需装 [keyring] 扩展或使用 --ini-file、KSM CLI 与 Commander 均要求 Python 3.10+、keeper.ini 权限应为 0600。密钥检索与注入（含 keeper:// 表示法）见 keeper-secrets 技能，企业管理与 PAM 见 keeper-admin 技能。