Secrets Vault

خزنة أسرار مدمجة بتشفير مغلَّف (envelope). تشير الإعدادات إلى الأسرار بصيغة ${vault:keyName}، ولا تصل القيمة أبداً إلى إعدادات الوكلاء أو التصديرات أو السجلات.

ما تحصل عليه

مراجع ${vault:keyName} في إعدادات LLM واستدعاءات HTTP وMCP وRAG
تشفير مغلَّف AES-256-GCM بمفتاح بيانات لكل مستأجر
صلاحيات لكل وكيل: أي الوكلاء يجوز له استخدام أي سرّ
تُنقّى الأسرار من تصديرات الإعدادات وتُحجب في السجلات

كيف يعمل في EDDI

اضبط المفتاح الرئيسي للخزنة (EDDI_VAULT_MASTER_KEY). يولّد المثبّت واحداً لك. وبدون مفتاح تكون الخزنة معطّلة.
خزّن سراً بـ PUT /secretstore/secrets/{tenantId}/{keyName} أو عبر Manager.
أشِر إليه في الإعدادات بصيغة ${vault:keyName}.
يحلّ EDDI المرجع وقت التشغيل. لا يُخزَّن النص الصريح في ذاكرة المحادثة.
احصر allowedAgents في الوكلاء الذين يحتاجون السرّ. يجري الفحص عند نشر الوكيل.

الإعدادات

مأخوذة من وثائق EDDI. القيم النائبة مثل your-agent-id عليك استبدالها بقيمك.

Store a secretتخزين سرّ. لا تُعيد الاستجابة القيمة أبداً.

curl -X PUT http://localhost:7070/secretstore/secrets/default/openai-key \
  -H "Content-Type: application/json" \
  -d '{"value":"sk-your-key","description":"OpenAI key"}'

langchain.json (reference it, never paste it)الإشارة إلى السرّ بالاسم من مهمة LLM.

{
  "tasks": [{
    "actions": ["send_message"],
    "id": "simpleChat",
    "type": "openai",
    "description": "Simple chat",
    "parameters": {
      "apiKey": "${vault:openai-key}",
      "modelName": "your-model-id",
      "systemMessage": "You are a helpful assistant",
      "addToOutput": "true"
    }
  }]
}

Grant one secret to specific agentsغيّر من يجوز له استخدام سرّ دون المساس بقيمته.

curl -X PUT "$EDDI/secretstore/secrets/default/openai-key/grant" \
  -H 'Content-Type: application/json' \
  -d '{"allowedAgents": ["0123456789abcdef01234567", "89abcdef0123456789abcdef"]}'

الحوكمة

تُفرض الصلاحيات عند النشر افتراضياً: الوكيل الذي يشير إلى سرّ غير ممنوح له لا يُنشر.
مرجع الخزنة الذي يصل عبر بيانات المحادثة، مثل مدخلات المستخدم أو ردّ النموذج، يُرفض ولا يُحلّ.
يُحجب النص الصريح من سجل الطلب ومعاينة الموافقة وسطر سجل الطلب.
تقع نقاط الخزنة خلف الدور eddi-admin عند تفعيل المصادقة.

من المفيد أن تعرف

ليس لدى EDDI عميل أصلي لـ HashiCorp Vault أو AWS أو Azure. على Kubernetes يمكن لـ External Secrets Operator مزامنة السرّ eddi-secrets في Kubernetes (الذي يحمل المفتاح الرئيسي للخزنة) من HashiCorp Vault أو AWS Secrets Manager أو Azure Key Vault. أما الأسرار الفردية فتبقى في خزنة EDDI.
إذا فُقد المفتاح الرئيسي فلا يمكن استرداد الأسرار المشفّرة. احتفظ بنسخة احتياطية منه.

ابدأ الآن الوثائق ↗

تكاملات ذات صلة

الإعدادات والسلوك في هذه الصفحة مبنيان على وثائق EDDI، وقد روجعا بتاريخ 2026-10-14. قد تتغير أسماء الحقول والقيم الافتراضية بين الإصدارات، فتأكد منها في وثائق إصدارك.

الميزات

المؤسسات

السحابة المُدارة ودعم المؤسسات

الموارد