Referenzen und Geheimnisse
Ein Knot-Anmeldedaten speichert ein verschlüsseltes Geheimnis (API-Schlüssel, SMTP-Passwort des Partners, Webhook-Geheimnis). Die Engine entschlüsselt nur während eines Laufs, ohne den Wert in benutzerseitigen Protokollen anzuzeigen.
🔐 Verschlüsselung
- Algorithmus: AES-256-GCM.
- Hauptschlüssel: Umgebungsvariable oder Servergeheimnis (nicht in Git).
- Keine einfachen Werte in „llx_knot_*“ werden der Benutzeroberfläche angezeigt.
🔐 Häufige Typen
| Type | Example |
|---|---|
| AI provider | OpenAI / Anthropic key |
| HTTP Bearer | SaaS API token |
| Basic auth | Partner user/password |
| Webhook secret | Inbound HMAC |
Verweisen Sie auf Anmeldeinformationen nach ID in Knoten; „.knot.json“ Exportieren schließt Geheimnisse aus.
🔐 Rotation
- Erstellen Sie mit dem neuen Schlüssel einen neuen Berechtigungsnachweis.
- Aktualisieren Sie jeden betroffenen Knoten.
- Simulieren, dann ein kontrollierender manueller Lauf.
- Widerrufen Sie den alten Schlüssel beim Anbieter.
- Löschen Sie die alten Knot-Anmeldeinformationen.
Wenn ein Webhook-Geheimnis verloren geht, generieren Sie auch die URL neu, wenn Ihr Prozess dies erfordert.
🔐 Best Practices
- Geringste Privilegien für API-Tokens.
- Keine Geheimnisse in Tickets, E-Mails oder Dokumenten-Screenshots.
- Separates Produkt/Staging (Anmeldeinformationen, Instanzen).
🔐 Audit-Protokoll
Verwenden Sie Audit-Protokoll für:
- Anmeldeinformationen erstellen/aktualisieren/löschen;
- Wer hat mithilfe eines Geheimnisses einen Workflow aktiviert?
- Korrelation mit fehlgeschlagenen Ausführungen (ohne das Geheimnis in Nachrichten preiszugeben).
Anwendungsprotokolle maskieren vertrauliche Header (SecretMasker im Produkt).