SOPS 加密密钥编辑器管理器

要解决的问题

在版本控制的仓库里管理机密信息是个两难问题：.env、config.yaml 这类文件需要被 diff、评审、回滚，天然适合放进 Git；而 API 密钥、数据库口令一旦以明文提交，就会永久留在历史记录里，泄露风险随每一次 clone 扩散。给文件加一层“提交前加密、使用时解密”的机制，是这个问题最工程化的解法。

技能如何工作

这个技能围绕 SOPS（Secrets OPerationS）展开。它是一个面向加密文件的编辑器，定位是版本控制仓库中机密信息的标准管理工具：

• 文件格式：支持 YAML、JSON、ENV、INI 和 BINARY，覆盖云原生配置的主流形态，也照顾到传统服务仍在使用的 INI / ENV 文件。
• 加密后端：密钥可托管在 AWS KMS、GCP KMS、Azure Key Vault、HuaweiCloud KMS 上，也支持 age 和 PGP 这类非云方案。多后端意味着仓库可以根据基础设施选择托管方，不必把机密管理绑定在某一家云厂商。
• 工作方式：仓库里保存的是加密后的文件，工程师在需要查看或修改时解密、编辑、再加密写回；机密的变更因此同样要经过版本控制的评审流程。

适用边界与注意点

• 该技能的资料中没有自动提取出经过验证的安装与使用说明。接入敏感工作流之前，先审查上游项目再决定如何使用，不要默认照搬任何示例配置。
• 它解决的是存储与流转环节的静态加密，不替代 IAM 策略、网络隔离和密钥轮换流程——后者仍需各云平台的配套机制配合。
• KMS 后端的可用性、配额与权限边界会直接影响解密操作，部署前需确认运行环境能访问对应的密钥服务。