Dùng vault từ trình duyệt

Vault dashboard là một trang web tham gia secrets vault đã đồng bộ của bạn như thêm một thiết bị, giống một chiếc laptop thứ hai. Nó liệt kê và chỉnh sửa secret, nhưng không bao giờ hiện giá trị.

Trình duyệt giữ những gì

Dashboard tự tạo device key ngay trong trình duyệt, lưu chúng trong IndexedDB dưới dạng key không thể trích xuất, và giải mã trong trang, nên máy chủ vault vẫn chỉ nhận bản mã từ nó. Việc đăng ký chỉ thêm thiết bị cho tài khoản sở hữu vault, nên dashboard dành cho chủ vault; editor của một vault được chia sẻ không thể thêm trình duyệt.

Bạn cần một vault đang đồng bộ trên ít nhất một thiết bị của bạn (xem Đồng bộ đám mây). Các lệnh sync và device bị ẩn khỏi ak secrets --help và cú pháp có thể thay đổi.

Đăng ký trình duyệt

1. Đăng nhập. Mở https://vault-staging.agentkit.best/app và đăng nhập bằng tài khoản AgentKit. Bước đăng nhập đi qua agentkit.best.

2. Sao chép join code. Lần đăng nhập đầu tiên hiện một join code bắt đầu bằng akj1-.

3. Duyệt trong terminal. Trên một thiết bị đã sở hữu vault, chạy:

   ak secrets devices approve <join-code>

   Lệnh in ra một offer code. Dán nó vào trình duyệt, trình duyệt sẽ hiện một mã 6 chữ số.

4. So mã 6 chữ số. Terminal cũng hiện một mã 6 chữ số. Chỉ trả lời y khi hai mã khớp nhau, rồi chọn I approved it, continue trong trình duyệt.

Việc duyệt cần chính bạn ở một terminal do bạn mở: lệnh bị từ chối khi một AI agent chạy nó và khi có --json. Không có gì xác minh nhãn Browser mà yêu cầu tham gia mang theo, nên devices approve gọi nó là "a device that says it is a web browser". Chỉ duyệt khi chính bạn bắt đầu tham gia từ một trình duyệt. Duyệt nghĩa là trao cho thiết bị đó mọi vault key mà thiết bị duyệt đang giữ.

Mở khoá và khoá

Dashboard không có passphrase vault riêng: mỗi lần truy cập mở khoá bằng một lần đăng nhập mới. Lock, hoặc rời khỏi trang, xoá phiên và bản đã giải mã khỏi bộ nhớ, đồng thời kết thúc lần đăng nhập. Device key vẫn nằm trong trình duyệt này cho lần sau.

Dashboard làm được gì

• Liệt kê và lọc. Liệt kê secret cùng metadata: độ nhạy, ngày tháng và các trường profile, mỗi trường đánh dấu nguồn gốc. Lọc theo tên hoặc metadata, hoặc tìm chính xác một tên. Việc lọc và tìm chạy trong trình duyệt trên bản sao nó đã xác minh; không truy vấn nào gửi lên máy chủ.
• Mô tả. Mở profile của một secret và lịch sử revision đã ký: thiết bị, thời điểm, key epoch, các lần xoá và nhánh xung đột của từng revision.
• Đặt và xoá. Đặt một giá trị hoặc xoá một secret. Mỗi thay đổi là một revision đã ký do thiết bị trình duyệt này ghi, nên một thay đổi đồng thời trên thiết bị khác trở thành xung đột, không bao giờ bị ghi đè.
• Khôi phục và giải xung đột. Khôi phục một giá trị cũ thành revision mới, hoặc giải các nhánh xung đột. Cả hai đều yêu cầu bạn xác nhận. Secret đã xoá không được đưa trở lại, và khôi phục một credential cũ không làm nó hợp lệ trở lại ở nhà cung cấp. Xung đột có chứa một lần xoá hoặc một nhánh không đọc được thì để ak secrets sync settle xử lý.
• Thành viên và quyền truy cập. Tab chỉ đọc Members and access liệt kê các tài khoản, vai trò và thiết bị mà chuỗi thành viên đã ký nêu tên, các thiết bị đã gỡ, key epoch, lần rekey đang chờ, và các mục mà một lần gỡ đã đánh dấu cần rotate.

Những gì nó không bao giờ làm

• Không bao giờ lộ giá trị. Nó không hiện, sao chép hay lưu giá trị. Ô giá trị chỉ để ghi và được xoá trắng khi bạn lưu. Lịch sử không bao giờ hiện giá trị, và revision mà trình duyệt này không có key được đánh dấu unavailable / unverified.
• Không quản trị vault. Nó không ký checkpoint. Nó không thể mời, gỡ hay đổi vai trò thành viên, rekey, đọc recovery bundle, công bố seal key, hay áp dụng các lệnh ghi mà AI tool đã xếp hàng: máy chủ từ chối những việc đó với phiên trình duyệt. Thay vào đó, hãy dùng CLI trên một thiết bị chủ vault. Trong vault dùng chung, việc đổi vai trò hay gỡ một thành viên được ký từ CLI trên một thiết bị chủ vault do người dùng điều khiển. Hiện chưa thể thêm hay mời thành viên.

Gỡ một trình duyệt

1. Tìm device ID. Phần đầu dashboard hiện tám ký tự đầu dưới dạng "Device …". CLI liệt kê mọi thiết bị; trình duyệt bạn đã duyệt từ thiết bị này được đánh dấu "(says it is a web browser)":

   ak secrets devices list

2. Gỡ nó từ một thiết bị chủ vault.

   ak secrets devices remove --reason retired -- <device-prefix>

   Dùng --reason lost, stolen hoặc compromised khi phù hợp hơn. Lệnh hỏi mật khẩu vault và recovery key hiện tại, và cần đăng nhập bằng email. Nó chuyển vault sang một key mới, chỉ được bọc cho các thiết bị còn lại, nên trình duyệt không đọc được các lần ghi mới. Khi trình duyệt đã bị gỡ đồng bộ lần tới, nó bị từ chối và tự xoá device key của mình.

3. Rotate những gì nó đã đọc được. Việc gỡ chỉ chặn truy cập về sau. Nó không lấy lại được những gì trình duyệt đã giải mã, nên nếu trình duyệt có thể đã bị xâm nhập, hãy rotate các secret đó ở nhà cung cấp. ak secrets list tiếp tục đánh dấu chúng trên mọi thiết bị cho tới khi từng secret được rotate.

4. Kết thúc đăng nhập. Nếu Connected apps trong tài khoản AgentKit có AgentKit Vault dashboard, hãy ngắt kết nối nó.

Để một AI tool trên cloud dùng vault thay cho trình duyệt, xem Kết nối AI tool với vault.