Infisical CLI シークレット管理 は何をしますか？
Infisical CLI をシークレット管理の信頼できる情報源として使用します。安全に認証し、infisical run でプロセスにシークレットを注入し、値をチャット、ログ、追跡ファイルにコピーすることを避けます。手書きの .env ファイルよりも、プロセス時の注入とプロジェクトネイティブなシークレットサーフェスを優先します。
変数
- INFISICAL_DOMAIN: セルフホストまたはクラウドドメイン。例
https://infisical.example.internal。 - INFISICAL_PROJECT_ID: Infisical プロジェクトの UUID。
- INFISICAL_ENV: 環境スラッグ。通常は
dev、staging、prod。 - INFISICAL_MACHINE_ENV_FILE: オプションのローカル環境ファイル。
INFISICAL_CLIENT_ID、INFISICAL_CLIENT_SECRET、INFISICAL_DOMAIN、INFISICAL_PROJECT_IDを含む。 - PAWRRTAL_REPO: オプションの Pawrrtal チェックアウトパス。Pawrrtal クックブックを適用する際に使用します。
仕組み
まず、シークレットサーフェスを分類します。ローカル開発プロセス、サービスプロセス、CI、またはアプリケーションが所有するワークスペース/ユーザーシークレットのいずれかです。次に、ユーザーログインまたはマシンアイデンティティで認証し、最小限の安全なスモークテストを実行します。そして、ターゲットアプリケーションが独自の暗号化シークレットストアを持っていない限り、infisical run を使用してプロセス境界でシークレットを注入します。
コマンド
| コマンド | 目的 |
|---|---|
/infisical-cli-secrets recon | リポジトリを検査し、シークレットのフロー方法を決定します。 |
/infisical-cli-secrets auth | ユーザーログインまたはマシンアイデンティティで安全に認証します。 |
/infisical-cli-secrets run | Infisical シークレット注入でコマンドをラップします。 |
/infisical-cli-secrets sync | 値を漏洩させずにシークレットキーを追加、更新、監査します。 |
/infisical-cli-secrets pawrrtal | Pawrrtal ゲートウェイとワークスペースシークレットにクリーンパターンを適用します。 |
クックブック
各コマンドには詳細なステップバイステップガイドがあります。コマンドを実行する前に関連するクックブックファイルを読んでください。
| コマンド | クックブック | 使用するタイミング |
|---|---|---|
| recon | cookbook/recon.md | リポジトリの env ファイル、設定、シークレットプレーンを理解する必要がある場合。 |
| auth | cookbook/auth.md | 安全な CLI セッションまたはマシントークンが必要な場合。 |
| run | cookbook/run.md | シークレットが注入されたコマンドを開始する必要がある場合。 |
| sync | cookbook/sync.md | シークレットキーを設定、インポート、比較、または検証する必要がある場合。 |
| pawrrtal | cookbook/pawrrtal.md | リポジトリが Pawrrtal であるか、paw/workspace-env の規約を使用している場合。 |
ユーザーが /infisical-cli-secrets を呼び出した場合は、最初に対応するクックブックファイルを読み、その後ステップを実行します。
安全規則
- シークレット値を決して表示しないでください。出力が保護されたファイルにリダイレクトされ、ユーザーが明示的に要求した場合を除き、
infisical secrets --plain、infisical export、またはprintenvの使用を避けてください。 .envを書き込むよりもinfisical run -- <command>を優先してください。ファイルは、ターゲットツールがプロセス環境変数を受け入れられない場合にのみ使用し、パーミッションは0600に設定してください。- セルフホストインスタンスの場合は、すべてのコマンドに
--domainを渡すか、INFISICAL_API_URL/INFISICAL_DOMAINをエクスポートしてください。 - マシンアイデンティティの場合は、トークンを
INFISICAL_TOKENにキャプチャしてください。トークンをコマンド文字列に直接渡したり、追跡ファイルに保存したりしないでください。 - 削除は高リスクとして扱います。意図を確認し、キー名と環境を検証し、インストール済み CLI の削除パスが既知のバグであることがわかっている場合は、UI/API による削除を優先してください。
関連スキル
連携スキル: /tailscale、/dev-box、/deploy-checklist