身份与信任packages/iam/vault

vault 能力包

客户密钥应用层信封加密 — AES-256-GCM、按租户 DEK、KMS 包装；解密带审计记录,落盘零明文。

打开文档

稳定性: 稳定
作用域: 按租户隔离
边界: packages/iam/vault
归属: @nebutra/iam

密钥库12 个密钥 · 3 个租户

rotation policy

OpenAI API Key

sk-•••••••••••8847

acme-prodkms/9f2a3 天前轮换

Stripe Webhook 密钥

whsec_•••••••••••1c4d

acme-prodkms/9f2a12 天前轮换

数据库密码

pg://•••••••••••a31f

lumen-devkms/4b7e27 天前轮换

明文DEKKEK (KMS)

AES-256-GCM · 租户级 DEK · KMS 包裹

使用方式vault.ts

typescript

vault.ts

1import { getVault } from "@nebutra/vault";
2
3const vault = await getVault();
4
5// Envelope encryption — AWS KMS unwraps the DEK per-record.
6const encrypted = await vault.encrypt(secretKey, {
7  tenantId: org.id,
8  name: "OpenAI API Key",
9});
10
11const plaintext = await vault.decrypt(encrypted);