你将获得
- 在 LLM、HTTP 调用、MCP 和 RAG 配置中使用
${vault:keyName}引用 - AES-256-GCM 信封加密，每个租户使用独立的数据密钥
- 按代理授权：哪些代理可以使用哪些密钥
- 密钥会从配置导出中清除，并在日志中被脱敏
在 EDDI 中如何工作
- 设置保管库主密钥（
EDDI_VAULT_MASTER_KEY）。安装程序会为你生成一个。没有密钥时保管库处于禁用状态。 - 用
PUT /secretstore/secrets/{tenantId}/{keyName}或通过 Manager 存入密钥。 - 在配置中以
${vault:keyName}引用它。 - EDDI 在运行时解析该引用。明文不会存储在对话记忆中。
- 把
allowedAgents收窄到确实需要该密钥的代理。检查在代理部署时执行。
配置
摘自 EDDI 文档。诸如 your-agent-id 之类的占位符需要你自行替换。
curl -X PUT http://localhost:7070/secretstore/secrets/default/openai-key \
-H "Content-Type: application/json" \
-d '{"value":"sk-your-key","description":"OpenAI key"}'{
"tasks": [{
"actions": ["send_message"],
"id": "simpleChat",
"type": "openai",
"description": "Simple chat",
"parameters": {
"apiKey": "${vault:openai-key}",
"modelName": "your-model-id",
"systemMessage": "You are a helpful assistant",
"addToOutput": "true"
}
}]
}curl -X PUT "$EDDI/secretstore/secrets/default/openai-key/grant" \
-H 'Content-Type: application/json' \
-d '{"allowedAgents": ["0123456789abcdef01234567", "89abcdef0123456789abcdef"]}'治理
- 授权默认在部署时强制执行：引用了未获授权密钥的代理不会被部署。
- 通过对话数据传入的保管库引用，例如用户输入或模型回复，会被拒绝，而不是被解析。
- 明文会从请求记录、审批预览和请求日志行中被脱敏。
- 开启认证后，保管库端点受
eddi-admin角色保护。
须知
- EDDI 没有原生的 HashiCorp Vault、AWS 或 Azure 客户端。在 Kubernetes 上，External Secrets Operator 可以从 HashiCorp Vault、AWS Secrets Manager 或 Azure Key Vault 同步
eddi-secretsKubernetes Secret（其中存放保管库主密钥）。各个具体密钥仍然保存在 EDDI 保管库中。 - 如果主密钥丢失，加密的密钥将无法恢复。请做好备份。
相关集成
本页的配置和行为依据 EDDI 文档，核对日期为 2026-10-14。字段名称和默认值可能随版本变化，请在所用版本的文档中确认。