ssclient SecureStore伴随工具

ssclient 是 SecureStore 开放机密格式（rust）实现的伴随工具，尽管它可以用于创建和管理任何兼容 SecureStore 实现的 SecureStore 机密文件。该工具用于在 Rust 代码中创建或消费 SecureStore 机密的伴随包可以在 同一仓库中找到。根据 SecureStore 开放机密协议的承诺，使用此工具创建或修改的保险库也可以由其他语言使用，例如，与 SecureStore.NET 库 一起。

SecureStore开放格式

SecureStore 是一个安全的开放协议，用于在可读文件中存储机密，这些文件与使用它们的代码版本一致，并打算与部署的二进制文件一起分发。为了使开发人员的工作更加轻松愉快，开发了此命令行实用程序，允许通过简单界面创建机密存储库并管理它们的机密。

安装

ssclient 在 crates.io 上作为可安装的二进制 crate 发布，可以直接通过 Rust 包管理器 cargo 进行安装

~> cargo install ssclient

用法

使用 ssclient 的可用命令行选项可以通过运行 ssclient -h 来查看基本选项列表，或者运行 ssclient --help 来查看扩展用法信息

USAGE:
    ssclient [OPTIONS] [SUBCOMMAND]

OPTIONS:
        --export-key <EXPORT_PATH>    Exports a key equivalent to the supplied password.
    -h, --help                        Print help information
    -k, --key <KEYFILE>               Use key stored at path KEYFILE.
        --no-vcs                      Do not exclude private key in vcs ignore file.
    -p, --password                    Prompt for password used to derive key.
                                      In headless environments, takes the password as an argument.
    -s, --store <STORE>               Specify the path to the secrets store to use for all
                                      operations. [default: secrets.json]
    -V, --version                     Print version information

SUBCOMMANDS:
    create    Create a new SecureStore vault for secrets storage.
                  See `ssclient help create` for more info
    delete    Remove a secret from the store.
                  See `ssclient help set` for more info
    get       Decrypt and retrieve secrets.
                  See `ssclient help get` for more info
    help      Print this message or the help of the given subcommand(s)
    set       Add or update an encrypted value to/in the store.
                  See `ssclient help set` for more info

可以通过执行 ssclient --help 来查看帮助的完整版本，而通过运行 ssclient help [create|set|get|delete] 可以获得单个命令的帮助

命令行界面已优化以减少处理机密时的摩擦，应该很容易管理新或现有项目的机密，并且开发人员不应犹豫或推迟保护机密。

创建新的机密存储库

机密信息存储在人类可读、格式化的JSON文件中，旨在与依赖它们的相同代码一起添加到版本控制中。文件格式经过精心设计，以适应版本控制系统，并能够抵抗合并/重新基。可以使用ssclient create子命令创建新的存储库。存储库始终加密（在磁盘和SecureStore API客户端的内存中），API和ssclient前端支持多种加密密钥来源选项，包括基于密码的加密/解密、应用程序/API为您生成加密密钥文件或提供自己的密钥文件。

典型场景是使用密码创建新的存储库，从中自动（且安全地）派生所需的加密密钥，并导出兼容的加密密钥副本。这使您可以使用基于密码的加密/解密功能方便地与ssclient交互，同时将加密密钥安全地部署到生产服务器，在那里可以使用它以无密码方式解密密钥文件。

在命令行中使用基于密码的加密创建新存储库

~> ssclient create secrets.json
Password: ***********
Confirm password: ***********

其中secrets.json是要创建的存储库的名称。如果没有指定存储库名称，则默认使用secrets.json。

要使用基于密钥的认证（即没有使用密码解密的选项），请使用以下命令代替

ssclient create secrets.json -k secrets.key

如果secrets.key存在且是有效的密钥文件，它将用于加密位于secrets.json的新存储库。如果secrets.key不存在，将使用CSPRNG为您安全地生成新密钥，并将其副本保存到提供的路径（在此例中为secrets.key），新存储库本身将被保存在提供的路径上（例如本例中的secrets.json）。

如果没有提供-p/--password或-/--keyfile，则ssclient默认使用基于密码的加密/解密以提高方便性。

~> ssclient create secrets.json --export-key secrets.key
Password: ***********
Confirm password: ***********

# Now you can use `ssclient -p` with your old password
# or `ssclient -k secrets.key` to encrypt/decrypt with
# the same keys.

ssclient set aws:s3:accesskey 715a868e-3c83-11ea-99bd-af944d8d3940

~> ssclient set aws:s3:accesskey
Password: ********
Value: 715a868e-3c83-11ea-99bd-af944d8d3940

~> ssclient -k secrets.key get aws:s3:accesskey
715a868e-3c83-11ea-99bd-af944d8d3940

~> ssclient get --all -k secrets.key
[
  {
    "key": "aws:s3:accesskey",
    "value": "715a868e-3c83-11ea-99bd-af944d8d3940"
  },
  {
    "key": "secret",
    "value": "password"
  }
]

~> ssclient get --all --format text --key secrets.key
aws:s3:accesskey: 715a868e-3c83-11ea-99bd-af944d8d3940
secret: password

~> ssclient delete aws:s3:accesskey
Password: ********