Vault

我在整理 homelab 的配置仓库时发现，有不少密钥以明文形式进了 git：数据库密码、云服务的 API token、K8s Secret 的 manifest。还有一些放在 ~/.zshrc.local 里，作为环境变量。这篇文章记录我比较几种方案之后选定的思路，以及其中涉及的概念。 最后选的组合是：Bitwarden + rbw 管人在场的场景，OpenBao 管集群里的自动化，没有用 SOPS。 先分清「存放」和「使用」 讨论密钥放在哪里时，容易把两件事混在一起： 存放（数据源，长期） 使用（临时） git 里的密文 / Bitwarden / OpenBao → 环境变量、内存、临时文件 使用的那一刻必然是明文，任何方案都绕不开，程序总得拿到真实值。能做的是让它短暂、范围小：只在一个子进程里，不长期落盘。 真正可以选择的是存放在哪里，而且不一定要是 git。 对照这个划分，原来的两个问题分别是： 做法 问题 明文进 git（即使是私有仓库） 协作者授权、第三方 App 授权、CI 克隆、哪天转 public，都会把全部历史一起交出去 放在 ~/.zshrc.local 磁盘上是明文；shell 启动的所有子进程一直都能读到，包括各种 CLI、npm postinstall 脚本、AI agent 分类原则：谁在用，有没有人在场 场景 存在哪里 怎么取 是否需要人在场 本地开发和运维（tofu、Ansible、脚本） Bitwarden rbw get，只注入单条命令 需要 集群自举密钥（集群启动时就必须存在的少数几个） Bitwarden 重建集群时，由人执行脚本创建 需要，只在重建时 集群里应用运行时用的密钥 OpenBao 程序用自己的身份去取；数据库用动态凭据 不需要 核心思路：人在场就从 Bitwarden 取；没有人在场，就交给一个在线服务（OpenBao），程序用自己的身份去取。 ...