Geheimnisse

Kazzle verfügt über einen integrierten verschlüsselten Tresor zum Speichern von API-Schlüsseln, Datenbankzugangsdaten, Token und anderen sensiblen Werten, die Ihre App benötigt. Geheimnisse werden im Ruhezustand mit AES-256-GCM verschlüsselt, wobei KMS-umhüllte Datenverschlüsselungsschlüssel verwendet werden – Klartextwerte berühren niemals die Datenbank.

Konzepte

Sammlungen gruppieren verwandte Geheimnisse zusammen (z. B. stripe-keys, database-credentials). Jede Sammlung hat einen Slug (Kleinbuchstaben, mit Bindestrichen), auf den Sie in Konfigurationsdateien und CLI-Befehlen verweisen. Umgebungen sind optionale Bereiche innerhalb einer Sammlung (z. B. production, staging). Geheimnisse können auf eine bestimmte Umgebung beschränkt oder auf Sammlungsebene als Standardwerte belassen werden. Auflösungsreihenfolge: Bei der Auflösung von Geheimnissen für eine bestimmte Sammlung + Umgebung überschreiben umgebungsspezifische Geheimnisse Geheimnisse auf Sammlungsebene mit demselben Namen. Dies ermöglicht es Ihnen, die meisten Geheimnisse über Umgebungen hinweg zu teilen und gleichzeitig bestimmte Werte pro Umgebung zu überschreiben.

Geheimnisse verwalten

In der App

Öffnen Sie Einstellungen > Vault, um Sammlungen, Umgebungen und Geheimnisse über die Benutzeroberfläche zu erstellen.

Mit der KI

Die KI kann Sammlungen erstellen, Umgebungen erstellen, Geheimnisse speichern, diese zwischen Bereichen verschieben und sie für Sie löschen. Die KI sieht Geheimnisnamen und Metadaten, aber nicht die verschlüsselten Werte.

Mit der CLI

# Geheimnisse als KEY=value-Zeilen exportieren
kazzle secrets.export --collection=stripe-keys --env=production

Geheimnisse aus Ihrer App referenzieren

Verweisen Sie mit env einer Komponente auf eine Geheimnis-Sammlung und Umgebung in kazzle.config.ts. Jedes Geheimnis in diesem Bereich wird als Prozessumgebungsvariable eingefügt, deren Name dem Geheimnisnamen entspricht:

import { defineApp } from '@kazzle/app';

export default defineApp({
  components: [
    {
      name: 'API Server',
      type: 'process',
      path: './server',
      env: {
        collection: 'stripe-keys',
        environment: 'production'
      }
    }
  ]
});

env.collection und env.environment sind Slugs, keine Anzeigenamen. Verwenden Sie env.include, um nur eine Teilmenge der Geheimnisse der Sammlung einzufügen:

env: {
  collection: 'stripe-keys',
  environment: 'production',
  include: ['STRIPE_SECRET_KEY']
}

Wie Geheimnisse zu Umgebungsvariablen werden

Wenn Geheimnisse für eine Komponente aufgelöst werden:

Die Sammlung wird nach Slug in Ihrem Space gefunden
Geheimnisse, die auf die angegebene Umgebung beschränkt sind, werden geladen
Geheimnisse auf Sammlungsebene (keine Umgebung) werden als Standardwerte einbezogen
Umgebungsspezifische Geheimnisse überschreiben Geheimnisse auf Sammlungsebene mit demselben Namen
Geheimnis-Referenzen innerhalb von Werten werden aufgelöst
Geheimnisnamen werden in das Format der Umgebungsvariablen konvertiert: Großbuchstaben, nicht-alphanumerische Zeichen werden zu Unterstrichen

Ein Geheimnis namens Stripe Secret Key wird zu STRIPE_SECRET_KEY. Jedes Geheimnis hat einen Body-Modus, der bestimmt, wie es eingefügt wird:

string-Geheimnisse (API-Schlüssel, Token, URIs) werden als einfache Skalarzeichenfolgen eingefügt
json-Geheimnisse (strukturierte Konfiguration) werden als JSON-Zeichenfolgen eingefügt
fields-Geheimnisse (Anmeldedaten, typisierte Feldsammlungen) werden als JSON-Zeichenfolgen eingefügt

Wann Geheimnisse eingefügt werden

Kontext	Eingefügt?	Details
Deploy (Prozesskomponente)	Ja	Wird als Laufzeit-Umgebungsvariablen in der Produktion hinzugefügt
Deploy (UI-Komponente)	Teilweise	Nur `VITE_*`-Präfix-Geheimnisse werden zur Build-Zeit übergeben
CLI (`kazzle run`)	Ja	In die Umgebung des Befehls eingefügt
CLI (`secrets.export`)	Ja	Exportiert als `KEY=value`-Zeilen
Dev-Vorschau	Noch nicht	Der Preview-Starter löst Komponenten-`env` noch nicht auf – verwenden Sie vorerst `kazzle run`

Template-Referenzen

Geheimniswerte können andere Geheimnis-Felder mit der gleichen Syntax referenzieren, die Kazzle an anderer Stelle verwendet:

postgresql://${secret.123e4567-e89b-12d3-a456-426614174000.username}:${secret.123e4567-e89b-12d3-a456-426614174000.password}@db.example.com:5432/mydb

Unterstützte Formate:

${secret.<uuid>.<field>} – spezifisches Feld oder JSON-Pfad innerhalb von Geheimniswerten oder Tool-Parametern, wo Vault-Referenzen aktiviert sind.
${secret.<uuid>} – gesamter Geheimnis-Body. Verwenden Sie dies nur, wenn ein Tool explizit das gesamte rohe Geheimnis anfordert; verwenden Sie dies nicht in App-Umgebung/Konfiguration.

Referenzen werden aufgelöst, nachdem Geheimnisse geladen wurden. Zirkuläre oder fehlerhafte Referenzen schlagen fehl, anstatt stillschweigend zurückzufallen.

Erste Schritte

Erstellen

Nutzer und Daten

Veröffentlichen

Kazzle verwenden

Sicherheit

Referenz

Geheimnisse

Geheimnisse

Konzepte

Geheimnisse verwalten

In der App

Mit der KI

Mit der CLI

Geheimnisse aus Ihrer App referenzieren

Wie Geheimnisse zu Umgebungsvariablen werden

Wann Geheimnisse eingefügt werden

Template-Referenzen

​Geheimnisse

​Konzepte

​Geheimnisse verwalten

​In der App

​Mit der KI

​Mit der CLI

​Geheimnisse aus Ihrer App referenzieren

​Wie Geheimnisse zu Umgebungsvariablen werden

​Wann Geheimnisse eingefügt werden

​Template-Referenzen

Geheimnisse

Konzepte

Geheimnisse verwalten

In der App

Mit der KI

Mit der CLI

Geheimnisse aus Ihrer App referenzieren

Wie Geheimnisse zu Umgebungsvariablen werden

Wann Geheimnisse eingefügt werden

Template-Referenzen