Secrets

Trang Secrets là giao diện Desktop của vault secrets cục bộ đứng sau ak secrets. Sau trang này bạn sẽ biết cách thêm và xem giá trị, trả lời các yêu cầu agent để lại, xử lý khi một secret được release và đọc nhật ký audit. Để hiểu grant, backend và giới hạn hoạt động thế nào, xem hướng dẫn Secrets vault.

Quản lý giá trị đã lưu

Trang liệt kê mọi tên được lưu trên máy này kèm Added by, Created, Rotated và Grants, và gắn nhãn Rotation due cho giá trị đã quá cửa sổ rotation. Các ô số liệu đếm Secrets, Grants và Unused (những tên chưa được grant cho agent nào).

• Add secret lưu một giá trị mới; Rotate thay giá trị và Delete xoá nó. Dán vào ô giá trị sẽ xoá clipboard ở những nơi ứng dụng được phép.
• Import .env thêm tên từ một file dotenv. Mặc định nó chỉ thêm những tên vault chưa có. Khi bật Replace names that already exist, bạn phải xem trước lần import, và bản xem trước liệt kê những gì sẽ bị ghi đè.
• Reveal yêu cầu nhập lý do, ghi lý do đó vào audit ledger rồi mới hiển thị giá trị. Nếu bạn đã copy giá trị, clipboard được xoá khi hộp thoại đóng, dù đóng theo cách nào.
• Export không xuất từ cửa sổ này. Nó hiển thị các lệnh ak secrets export để chạy trong terminal, nơi một bản export có giá trị chỉ được ghi ra file mã hoá bằng age.

Vault mặc định dùng keychain của hệ điều hành. Với file backend, trang sẽ hỏi passphrase của vault để mở khoá; Desktop chỉ giữ passphrase trong lần chạy ứng dụng hiện tại, và Lock khoá vault lại.

Panel Grants liệt kê binary agent nào được đọc tên nào. Hãy grant và revoke từ terminal bằng ak secrets grant và ak secrets revoke.

Trả lời yêu cầu đang chờ

Khi một agent xin một secret mà không grant nào bao phủ, yêu cầu đó chờ trong panel Waiting for you. Mở yêu cầu để xem agent nào xin, cho secret, project và mục đích nào, rồi chọn một trong bốn câu trả lời:

Deny được focus khi hộp thoại mở, và phím tắt một phím (D, O, S, A) chỉ hoạt động sau khi hộp thoại đã hiển thị một lúc ngắn. Decide later hoặc Escape đóng hộp thoại và để yêu cầu tiếp tục chờ. Một câu trả lời ghi cùng các dòng grant như ak secrets approve, lệnh có cửa sổ mặc định riêng là 24 giờ.

Nếu một agent đã khởi động tiến trình Desktop này, Desktop từ chối câu trả lời, ghi nó thành một lần deny và yêu cầu bạn trả lời từ ứng dụng Desktop hoặc terminal do chính bạn mở. Điều này ngăn agent tự duyệt yêu cầu của chính nó theo cách hiển nhiên; đây không phải ranh giới tuyệt đối.

Theo dõi các lần release secret

Khi Desktop đang mở, mỗi lần release cho một agent hoặc một terminal hiển thị một thông báo trong ứng dụng, nêu secret, agent và project. Revoke this agent's grants xoá mọi grant mà binary agent đó đang giữ, giống ak secrets revoke --agent sha256:<hash> --all; Dismiss ẩn thông báo. Các lần reveal của chính bạn không được báo lại cho bạn.

Khi cửa sổ không được focus hoặc không hiển thị, mỗi lần release còn tạo một thông báo hệ điều hành với tiêu đề Secret released. Nội dung nêu secret, được release cho ai và project, không bao giờ có giá trị hay mục đích. Khi một lần kiểm tra thấy hơn bốn lần release mới, phần còn lại được gộp thành một thông báo tóm tắt. Thông báo hệ điều hành chỉ là best effort: trên macOS chúng cần quyền thông báo của ứng dụng, và bạn có thể cấp lại trong System Settings nếu đã từ chối. Thông báo trong ứng dụng và nhật ký audit vẫn đầy đủ trong mọi trường hợp.

Revoke chỉ chặn các lần đọc sau này. Hãy rotate secret mà một agent không nên giữ nữa.

Đọc nhật ký audit

Audit log mở Secrets audit, mới nhất trước: mọi lần resolve, block và câu trả lời của người vận hành, không bao giờ có giá trị. Lọc theo tên secret, theo quyết định (Allowed, Blocked, Denied) hoặc theo nguồn (Agent, Terminal, Desktop). Mỗi dòng hiển thị thời điểm, secret, agent, mục đích, nguồn, quyết định và lý do. Cùng ledger này có thể đọc trong terminal bằng ak secrets audit.