📦
prompt-engineering-patterns
86本番環境向けLLMプロンプトを最適化
LLMプロンプトは、指示、例、評価基準が不明確なために失敗することがよくあります。このスキルは、Claude、Codex、Claude Code、および同様のツールでプロンプトを改善するためのテンプレートとワークフローを提供します。
生産性 表示
スキル secrets-management
📦
secrets-management
コンテンツリビジョン r1 高リスク ⚙️ 外部コマンド🌐 ネットワークアクセス🔑 環境変数
安全な CI/CD シークレット管理
CI/CD パイプラインでは、ハードコードされた値、ログ、または脆弱なアクセス制御を通じて認証情報が露出することがよくあります。このスキルは、Claude、Codex、Claude Code がより安全なシークレットの保存、取得、ローテーション、スキャンのワークフローを設計するのに役立ちます。
対応: Claude Codex Code(CC)
インストール前に停止して確認を求めてください。
計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "secrets-management" from https://skillstore.io/skills/wshobson-secrets-management.md and its manifest at https://skillstore.io/api/skills/wshobson-secrets-management/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「secrets-management」を使用しています。 リポジトリシークレットを使用し、デプロイ中に環境変数を出力するパイプラインをレビューする。
期待される結果:
レビューでは、シークレットのログ出力を最も高いリスクとして指摘し、マスキングを推奨し、直接的な echo コマンドを削除し、スコープ指定された環境シークレットを提案します。
「secrets-management」を使用しています。 本番データベースパスワードのローテーションプロセスを作成する。
期待される結果:
計画には、新しいパスワードの生成、シークレットストアの更新、アプリケーションアクセスの検証、エラー監視、古いパスワードの失効が含まれます。
「secrets-management」を使用しています。 開発者と CI のワークフローにシークレットスキャンを追加する。
期待される結果:
結果として、ローカルの pre-commit スキャン、必須の CI スキャン、明確な失敗メッセージ、承認済みの誤検知に対するプロセスを推奨します。
セキュリティ監査
高リスクv8 • 2026/7/8 バージョン別レポートを開く
The skill is documentation-only and contains no prompt injection attempt or runtime code. Most command, URL, and environment detections are false positives from fenced examples, but several examples teach unsafe secret handling through CI log output, Terraform state persistence, and weak demo credentials.
1
スキャンされたファイル
347
解析済み行数
6
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (3)
高
Secret Values Printed to CI Logs
Several CI examples use echo with API keys or database URLs. This teaches users to place secret values in build logs, where they may be retained or shared.
The examples explicitly print secret variables using echo. This is direct evidence of a log disclosure pattern.
高
Terraform State May Store Secret Values
The Terraform example reads a database password from AWS Secrets Manager and assigns it to an RDS password field. Terraform state can retain that value.
The snippet shows the secret value assigned into Terraform-managed infrastructure. Terraform state commonly records resource arguments unless a provider handles them as write-only.
中
Insecure Demo Credentials Lack Strong Warning
The Vault setup example uses a root token and a literal password value. It is labeled as a dev server, but the snippet needs a clearer non-production warning.
The context says dev server, which reduces severity. The root token and simple password are still risky if copied into reusable automation.
機能レビュー項目 (6)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
高
Database connection strings
password = jsondecode(data.aws_secretsmanager_secret_version.db_password.secret_string)["
The Terraform example passes a retrieved database password into a resource argument, which can persist secret material in Terraform state. This is a real exposure risk even though the value comes from Secrets Manager.
高
Database connection strings
echo "Database URL: ${{ secrets.DATABASE_URL }}"
The CI example echoes a database URL secret into job logs. Masking can fail for derived or unconfigured values, so this encourages credential disclosure.
高
Database connection strings
- echo "Database: $DATABASE_URL"
The GitLab example echoes a database URL variable into job logs. This can disclose credentials embedded in the connection string.
高
Generic API/secret keys
echo "API Key: ${{ secrets.API_KEY }}"
The GitHub Actions example prints an API key secret with echo. Even with masking, examples should never instruct users to write secret values to logs.
高
Generic API/secret keys
echo "Deploying with ${{ secrets.PROD_API_KEY }}"
The environment secret example prints a production API key in a deployment log line. This is a direct secret disclosure pattern.
高
Generic API/secret keys
- echo "Deploying with $API_KEY"
The GitLab variable example echoes an API key into job output. CI logs are commonly retained and shared, so this is a real leakage risk.
リスク要因
⚙️ 外部コマンド (40)
SKILL.md:52-65 SKILL.md:65-69 SKILL.md:69-94 SKILL.md:94-98 SKILL.md:98-111 SKILL.md:111-113 SKILL.md:113-119 SKILL.md:119-123 SKILL.md:123-127 SKILL.md:127-148 SKILL.md:148-152 SKILL.md:152-164 SKILL.md:164-170 SKILL.md:170-175 SKILL.md:175-179 SKILL.md:179-187 SKILL.md:187-189 SKILL.md:189-195 SKILL.md:195-200 SKILL.md:200-224 SKILL.md:224-251 SKILL.md:251-265 SKILL.md:265-305 SKILL.md:305-311 SKILL.md:311-324 SKILL.md:324-328 SKILL.md:328-335 SKILL.md:335-339 SKILL.md:339-340 SKILL.md:340-344 SKILL.md:344-345 SKILL.md:345-346 SKILL.md:107 SKILL.md:108 SKILL.md:137-140 SKILL.md:316 SKILL.md:98-111 SKILL.md:127-148 SKILL.md:311-324 SKILL.md:312
🌐 ネットワークアクセス (5)
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/wshobson-secrets-management/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/wshobson-secrets-management?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/wshobson-secrets-management?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/wshobson-secrets-management/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/wshobson-secrets-management.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
wshobson. (2026). secrets-management security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/wshobson-secrets-management/audits/8BibTeX形式の引用
@techreport{wshobson-wshobson-secrets-management-2026,
author = {wshobson},
title = {secrets-management security audit report (audit version 8)},
institution = {Skillstore},
year = {2026},
number = {8},
url = {https://skillstore.io/skills/wshobson-secrets-management/audits/8},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "secrets-management security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
- name: "wshobson"
date-released: "2026-07-08"
url: "https://skillstore.io/skills/wshobson-secrets-management/audits/8"
identifiers:
- type: other
value: "skillstore:wshobson-secrets-management:audit:8"
description: "Skillstore immutable audit report identifier"
バリアントを比較
インストール可能なバリアント 2 件各作者のスキルは個別のインストール項目として維持されます。推奨バリアントは Skillstore の証拠で順位付けされます。
このバリアントが首位の理由
Skillstore での利用が多い
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 55
アーキテクチャ
85
保守性
87
コンテンツ
71
コミュニティ
91
仕様準拠
作成できるもの
CI/CD パイプラインの強化
ハードコードされた認証情報を管理されたシークレットとより安全な取得手順に置き換えます。
シークレットローテーションの計画
データベースパスワード、API キー、またはデプロイ認証情報のローテーションプロセスを作成します。
シークレットスキャンの標準化
誤ってシークレットがコミットされることを防ぐ pre-commit と CI チェックを追加します。
これらのプロンプトを試す
シークレットリスクの特定
ハードコードされたシークレット、安全でないログ出力、欠落しているシークレットマスキングについて、私の CI/CD パイプラインをレビューしてください。最も重要なリスクから説明してください。
シークレット取得の設計
シークレット値を出力せずに Vault または AWS Secrets Manager からデプロイ用シークレットを取得する GitHub Actions ワークフローを設計してください。
ローテーション計画の構築
検証、ロールバック、監査ログ、古いシークレットの失効を含む、データベース認証情報向けの本番シークレットローテーション計画を作成してください。
マルチクラウド制御の監査
この CI/CD アーキテクチャについて、Vault、AWS Secrets Manager、Azure Key Vault、Google Secret Manager を比較してください。最小権限のアクセス制御を推奨してください。
ベストプラクティス
- CI の出力や診断ログに書き込む前に、シークレット値をマスクおよびマスキングしてください。
- 最小権限の ID を使用し、開発、ステージング、本番用のシークレットを分離してください。
- シークレットを定期的にローテーションし、シークレットへのアクセスと変更の監査ログを保持してください。
回避
- API キー、データベース URL、またはトークンをパイプラインログに echo しないでください。
- 本番シークレットをリポジトリファイルや再利用可能なサンプルスニペットに保存しないでください。
- スコープ指定されたロールで十分な場合に、CI ジョブへ広範なクラウド権限を付与しないでください。
よくある質問
このスキルはコマンドを実行したり、シークレットストアに接続したりしますか？
いいえ。ガイダンスと例のみを提供します。ユーザーは自分の環境でコマンドを実行し、適合させる必要があります。
どのシークレットプラットフォームを扱っていますか？
Vault、AWS Secrets Manager、Azure Key Vault、Google Secret Manager、GitHub Secrets、GitLab variables、External Secrets Operator を扱います。
CI/CD からハードコードされたシークレットを削除するのに役立ちますか？
はい。ハードコードされた値から、管理されたシークレットストアやプラットフォームネイティブのシークレット変数への移行を支援できます。
公開されているスキルはリスクがありませんか？
いいえ。監査では、本番環境向けにコピーする前に警告として扱い、修正すべき安全でないログ出力の例が見つかりました。
これはセキュリティレビューの代わりになりますか？
いいえ。チームは引き続き IAM ポリシー、Vault ポリシー、監査ログ、コンプライアンス要件をレビューする必要があります。
ユーザーはサンプルスニペットをどのように扱うべきですか？
ユーザーはそれらを慎重に適合させ、シークレットを出力するコマンドをすべて削除し、まず本番環境以外の認証情報でテストする必要があります。
開発者情報
作成者
wshobsonライセンス
MIT
Skillstore リビジョン
r1
バージョンに関する注意
作者はバージョンを宣言していません。
リポジトリ
https://github.com/wshobson/agents/tree/main/plugins/cicd-automation/skills/secrets-management参照
64ca8af0f54a325752f08bd54e52151061ea659a
メンテナンスの新しさ
2026/7/25
利用状況
8 ダウンロード · 279 閲覧
ファイル構成
📄 SKILL.md
wshobson のその他のスキル
すべて表示📦
context-driven-development
81コンテキスト駆動開発を管理する
AI支援プロジェクトでは、プロダクト目標、スタック選定、ワークフロールールが散在すると一貫性が失われます。このスキルは、Conductor のコンテキスト成果物を通じて Claude、Codex、Claude Code を導きます。
コーディング＆開発 表示
📦
startup-financial-modeling
80スタートアップ向け財務モデルを構築する
スタートアップチームは、採用、資金調達、資金使途を計画する前に、明確な予測を必要とします。このスキルは、収益、コスト、ランウェイ、シナリオを実務的な財務計画アウトプットとして整理します。
データ＆アナリティクス 表示
📦
kpi-dashboard-design
79意思決定を促進するKPIダッシュボードを設計する
チームは多くの数値を表示するだけで、行動につながらないダッシュボードを作りがちです。このスキルは、Claude、Codex、Claude Codeが意味のあるKPIを選定し、ビューを構成し、指標を明確に提示するのに役立ちます。
デザイン＆クリエイティブ 表示
📦
postmortem-writing
79非難しないインシデント事後分析を書く
インシデントレビューは、一貫性がなくなったり、非難に焦点が当たったり、実行に移しにくくなったりしがちです。このスキルは、Claude、Codex、Claude Code が、明確なタイムライン、根本原因、担当者を含む構造化された事後分析を作成するのに役立ちます。
ライティング＆コンテンツ 表示
📦
data-storytelling
79明確なデータストーリーを構築
生の指標だけでは、ステークホルダーを説得したり意思決定を支援したりするには不十分なことがよくあります。このスキルは、Claude、Codex、Claude Code が分析を明確なナラティブ、ビジュアル、推奨事項へと整理するのを支援します。
データ＆アナリティクス 表示
関連スキル
すべて表示📦
security-audit
78Webアプリのセキュリティ制御を監査
作成者 AppleLamps
コマンド実行、シークレット、WebSocketのセキュリティ上の不備は、気づかれないまま本番環境に到達する可能性があります。このスキルは、Claude、Codex、またはClaude Codeに読み取り専用レビューを案内します。
セキュリティ＆コンプライアンス 表示
📦
testing
85信頼性の高いテスト自動化を構築
作成者 89jobrien
弱いテストはリリースを遅らせ、リグレッションを見逃します。このスキルは、テスト戦略、TDD、自動化、カバレッジレビュー、Playwright による Web チェックをガイドします。
コーディング＆開発 表示
📦
testing-patterns
81コードベース全体で信頼性の高いテストを計画する
作成者 0xDarkMatter
このスキルは、テスト範囲を混在させずに、チームがテスト戦略、モック、データフィクスチャ、カバレッジゲート、CIパターンを選択するのに役立ちます。Claude、Codex、Claude Codeに、ユニット、統合、エンドツーエンド、TDD、パイプラインテストのための構造化されたガイダンスを提供します。
コーディング＆開発 表示
📦
senior-devops
81DevOpsパイプラインとデプロイを自動化
作成者 alirezarezvani
DevOps作業では、再利用可能なパイプライン、インフラストラクチャ、デプロイのパターンが必要になることがよくあります。このスキルは、CI/CD、IaC、デプロイ、運用レビューのためのスクリプトとリファレンスガイドを提供します。
DevOps＆インフラ 表示
📦
cloud-devops
80クラウドDevOpsワークフローを調整する
作成者 sickn33
クラウドデリバリー作業は、多くの場合、多数のツールとフェーズにまたがります。このスキルは、インフラストラクチャ、CI/CD、Kubernetes、監視、セキュリティ、コスト、復旧作業を明確なプロンプトに整理します。
DevOps＆インフラ 表示
📦
devops-orchestrator
79DevOpsデリバリーを調整
作成者 Brownbull
DevOpsの作業は、パイプライン、インフラストラクチャ、モニタリング、デプロイ判断にまたがることがよくあります。このスキルは、それらのタスクをチェックリスト、引き継ぎ、ロールアウト計画として整理します。
DevOps＆インフラ 表示