CredAgent protège les identifiants basés sur des fichiers grâce à un stockage chiffré au repos, à l'isolation FUSE et à un accès aux programmes mesuré par SHA256.
Installer & Télécharger
1. ClawHub CLI
Le moyen le plus rapide d'installer une compétence directement depuis le registre.
npx clawhub@latest install credagent
2. Installation manuelle
Copiez le dossier de la compétence dans l'un de ces emplacements
~/.openclaw/skills/ <project>/skills/ Priorité : Espace de travail > Local > Intégré
3. Installation du prompt
Copiez ce prompt dans OpenClaw pour l'installer automatiquement.
Aide-moi à installer credagent via Clawhub. Si Clawhub n'est pas installé, installe-le d'abord (npm i -g clawhub).
Vous préférez télécharger ?
Obtenez les fichiers bruts de la compétence dans une archive ZIP.
Qu'est-ce que Protection des identifiants CredAgent ?
CredAgent est une compétence de protection des identifiants Zero-Trust pour Openclaw Skills qui sécurise les secrets basés sur des fichiers tels que les clés SSH, les identifiants CLI cloud, les jetons API, les cookies OAuth et les fichiers .env. Elle remplace le chemin d'accès d'origine de l'identifiant par une référence protégée tout en ne servant le contenu déchiffré qu'aux programmes explicitement autorisés.
Le flux de travail utilise l'interface de ligne de commande credctl pour autoriser des binaires ou des scripts spécifiques, vérifier éventuellement leurs mesures SHA256, restreindre la fréquence d'ouverture et contrôler l'accès en écriture. Il met également l'accent sur une limite de sécurité essentielle : la protection d'un fichier d'identifiants ne sécurise pas un programme autorisé inscriptible ou son arbre de dépendances.
Cas d'utilisation de Protection des identifiants CredAgent
- Protégez les clés SSH telles que
~/.ssh/id_rsacontre les outils et processus non autorisés. - Protégez les fichiers de configuration AWS, Aliyun, Docker, Claude CLI et autres fichiers de configuration cloud ou de développeur.
- Restreignez les jetons API, les cookies OAuth, les secrets
.envet autres identifiants basés sur des fichiers aux programmes approuvés. - Exigez une vérification d'intégrité SHA256 pour les binaires système stables tels que
/usr/bin/ssh. - Permettez aux scripts d'accéder aux secrets tout en évaluant explicitement les risques liés aux scripts modifiables et aux dépendances.
- Limitez la fréquence à laquelle un processus peut ouvrir un identifiant protégé lors d'opérations telles que les pushs Git.
- Permettez des mises à jour contrôlées pour les configurations OAuth inscriptibles ou les fichiers de jetons.
- Auditez, mettez à jour, attachez, détachez, libérez ou supprimez les protections CredAgent existantes.
Comment fonctionne Protection des identifiants CredAgent
- Vérifiez que
credctlest installé, que le démon CredAgent répond et que le point de montage blindé FUSE est disponible. Si un prérequis échoue, arrêtez et installez CredAgent en premier. - Identifiez le fichier d'identifiants à protéger, en utilisant des emplacements courants tels que
~/.ssh/,~/.aws/,~/.docker/ou~/.config/. - Identifiez l'exécutable autorisé exact. Pour les scripts, utilisez le chemin du script plutôt que l'interpréteur ; pour les opérations Git SSH, autorisez
/usr/bin/sshplutôt quegit. - Exécutez
credctl protectavec la stratégie BASIC, un chemin de programme autorisé, un paramètre de mesure explicite et le chemin de l'identifiant. - Configurez des contrôles optionnels tels que
--open-frequencypour les limites d'accès par processus et--writable truepour les identifiants qui doivent être mis à jour. - Vérifiez que le chemin d'origine pointe vers un objet protégé, puis inspectez l'inventaire des fichiers protégés et les détails de la politique avec
credctl list --jsonetcredctl inspect. - Exécutez le programme autorisé et examinez les journaux CredAgent pour confirmer l'accès autorisé.
- Auditez le programme autorisé et l'ensemble de son arbre de répertoire pour y déceler des fichiers accessibles en écriture par tous, des dépendances inscriptibles, une configuration non sécurisée, des risques de liens symboliques ou des attaques de masquage d'importation.
- Maintenez la politique au fil du temps en actualisant les mesures SHA256 après des mises à jour légitimes de binaires, en modifiant les règles d'accès ou en libérant la protection si nécessaire.
Configuration de Protection des identifiants CredAgent
CredAgent est un prérequis séparé et n'est pas fourni avec cette compétence Openclaw Skills. Il nécessite des privilèges root et FUSE, les utilisateurs doivent donc examiner et approuver les commandes d'installation.
- Vérifiez l'installation, le démon et le point de montage :
command -v credctl && credctl version
credctl list --json >/dev/null 2>&1 && echo OK
ls -d /mnt/credagent/shielded 2>/dev/null || ls -d /usr/local/var/credagent/shielded 2>/dev/null
Si les vérifications échouent, installez CredAgent en utilisant la documentation d'installation du projet. Les chemins pris en charge incluent le téléchargement d'une archive tar de version pré-compilée et l'exécution de
sudo ./INSTALL, ou la compilation à partir du code source avec Go. Les builds Linux utilisentCGO_ENABLED=0; les builds macOS utilisentCGO_ENABLED=1et doivent être compilés nativement.Initialisez le service une fois avec le point de montage, le socket, la ligne de base chiffrée et les chemins de configuration requis :
sudo credagent run --mount /mnt/credagent/shielded/ --socket-dir /run/credagent --baseline-file /var/lib/credagent/baseline.enc --config /usr/local/etc/credagent/engine/config.json --auto-init
Arrêtez le processus de premier plan temporaire après qu'il a signalé qu'il est prêt, démarrez le service système et réinitialisez le mot de passe administrateur généré aléatoirement avec sudo credagent init --config ....
- Une fois que
credctl versiona réussi et que le démon répond, protégez un identifiant. L'indicateur de mesure est requis dans la version v0.2.0 et doit êtretrueoufalse:
credctl protect --strategy BASIC --program-permit /usr/bin/ssh --measure true --open-frequency 2 ~/.ssh/id_rsa
credctl protect --strategy BASIC --program-permit /path/to/script.py --measure false --open-frequency 1 /path/to/api-key.txt
credctl protect --strategy BASIC --program-permit /usr/bin/aliyun --measure true --writable true ~/.aliyun/config.json
- Confirmez le résultat et inspectez les journaux d'accès :
ls -la <credential-file>
credctl list --json
credctl inspect <id>
sudo journalctl -u credagent --since "2 minutes ago" | grep permitted
Utilisez la documentation d'installation, de référence des commandes et de dépannage pour la configuration du service spécifique à la plateforme et les erreurs de permission.
Schéma de données et taxonomie de Protection des identifiants CredAgent
CredAgent organise les identifiants protégés autour d'un chemin d'origine, d'un objet FUSE blindé et d'une politique d'accès.
| Élément de données | Description |
|---|---|
| Chemin d'origine | L'emplacement de l'identifiant destiné à l'utilisateur, tel que ~/.ssh/id_rsa ou ~/.aws/credentials. |
| Cible protégée | Un objet protégé exposé via le point de montage blindé CredAgent, généralement référencé par un ID interne. |
| Mappage de chemin | Le chemin d'origine devient un lien ou une référence protégée vers l'objet blindé. |
| Stratégie de politique | La stratégie de protection utilisée par credctl, généralement BASIC. |
| Autorisation de programme | Le chemin exact du binaire ou du script autorisé à ouvrir l'identifiant. |
| Mesure SHA256 | Application facultative de l'intégrité pour le programme autorisé ; true valide le binaire mesuré et false ignore la vérification. |
| Fréquence d'ouverture | Limite d'ouverture optionnelle par processus, utile pour contrôler l'accès répété aux identifiants. |
| État inscriptible | Indique si le programme autorisé peut mettre à jour l'identifiant protégé ; la lecture seule est la valeur par défaut. |
| Métadonnées d'inventaire | credctl list --json fournit des enregistrements de fichiers protégés lisibles par machine. |
| Métadonnées détaillées | credctl inspect <id> expose les détails de la politique et de l'objet pour un fichier protégé spécifique. |
Les fichiers opérationnels et l'infrastructure comprennent la ligne de base chiffrée sur /var/lib/credagent/baseline.enc, le répertoire de sockets du démon sur /run/credagent, la configuration du service sous /usr/local/etc/credagent/engine/config.json et le point de montage FUSE sur /mnt/credagent/shielded/ ou l'équivalent spécifique à la plateforme. La compétence ne crée pas de base de données d'application distincte ; CredAgent maintient les objets protégés et les métadonnées de politique.
Fonctionnalités avancées de Protection des identifiants CredAgent
- Les politiques d'exécution mesurées par SHA256 aident à détecter les modifications apportées aux binaires autorisés stables.
- Les limites
--open-frequencypar PID réduisent les lectures de secrets répétées ou inattendues. --writable trueprend en charge les mises à jour contrôlées pour les jetons OAuth, les cookies et les fichiers de configuration rotatifs.- La sortie d'inventaire JSON permet l'écriture de scripts, les audits et l'intégration avec les flux de travail Openclaw Skills.
- Les commandes du cycle de vie des politiques prennent en charge les opérations
list,inspect,update,attach,detach,refresh,releaseetremove. - Plusieurs programmes autorisés peuvent être gérés en attachant ou en détachant des chemins de programmes d'un identifiant protégé.
- Les flux de travail de mise à jour des mesures s'adaptent aux mises à niveau légitimes des binaires sans rejeter l'objet protégé.
- Les examens de sécurité couvrent les arbres de répertoires complets, les dossiers de dépendances, les fichiers de configuration, les liens symboliques, les attaques de masquage d'importation Python et les contrôles de fichiers immuables.
- Le flux de travail sépare explicitement la protection des identifiants de l'intégrité du programme, encourageant la propriété root, la suppression des permissions d'écriture globale, les contrôles de contrôle de version et les audits réguliers.
- Le service pris en charge par FUSE maintient le secret protégé sur un chemin utilisable tout en restreignant l'accès par le biais de l'application de la politique CredAgent.
SKILL.md
Chargement
Compétences Openclaw associées
Nacos Skill Registry
Gérez tout le cycle de vie des compétences IA — de la découverte et l'installation aux mises à jour sécurisées et aux publications examinées — avec Nacos et nacos-cli.
TopxAI Equity Research
TopxAI Equity Research guide les agents d'IA de l'analyse financière sourcée vers des rapports auditables, des notations falsifiables et des recommandations de recherche réglées.
Intelligence publicitaire
L’Intelligence publicitaire étudie et compare les publicités payantes d’une entreprise sur les principales plateformes, en transformant les créations, les messages et les destinations publics en une analyse reliée aux sources.
Recherche sur les créations publicitaires pour le commerce électronique
Recherchez avec Glasser les publicités publiques de Meta et TikTok de vos concurrents et transformez les modèles créatifs observables en tests publicitaires liés à des preuves.
Rotation du contexte
La rotation du contexte conserve la progression des tâches dans des fichiers de relais et de mémoire afin qu’un agent d’IA puisse reprendre facilement son travail dans une nouvelle session.
miRNA Target Tools
Prédisez, annotez et visualisez des gènes cibles de miRNA à partir de simples séquences, avec des flux de travail allant du balayage de transcriptome entier aux réseaux prêts pour Cytoscape.
METADATA
En vedette*
