返回目录 / 安全
Secrets 管理：改用最小权限与可恢复轮换
将流水线中的明文凭据迁移到受控 secret manager，并规划安全轮换。
Skills
盘点凭据用途、消费方、环境与当前权限，不读取或回显 secret 值。选择 Vault、AWS Secrets Manager、Azure Key Vault 或平台原生存储，按运行身份授权到单一 secret/路径；CI 只注入引用或短期凭据。先在测试环境演练新旧凭据重叠、消费方切换、验证与撤销步骤，安排失败恢复窗口。更新 pipeline/IaC 后扫描日志、配置和仓库是否仍有明文；任何生产轮换/撤销需确认服务影响并获批准。
权限边界
前置条件
- 为 CI/CD、应用或数据库设计凭据存储、最小权限访问与轮换。
- 需明确 secret 类别、消费者、运行环境和可用 secrets manager。
权限边界
- 可改 pipeline/IaC 与 secret references；若轮换会使当前凭据失效，影响依赖服务。
- 不得读取或输出明文 secret；凭据轮换/撤销需确认影响和回滚方案。
限制
优先短期/动态凭据与最小权限；日志只验证引用/版本，不打印值；设置轮换失败恢复步骤。
固定上游来源
- 仓库
- wshobson/agents
- 文件路径
- plugins/cicd-automation/skills/secrets-management/SKILL.md
- 固定提交
46891e7e60da0e52baf1050b7b6391b64e84c6d9- 来源检查
- 2026-10-14 · 已按固定上游来源核对
仓库指标
以下数字属于上游仓库整体，不代表单个 Skill 或指南的点赞/热度。
- Stars
- 未取得
- Forks
- 未取得
- 观测时间
- 未取得
尚未取得指标快照。
许可证: MIT
适用工具
Secret manager API/CLI · CI secret store · Rotation workflow