스킬 secrets-management
📦

secrets-management

콘텐츠 리비전 r1 높은 위험 ⚙️ 외부 명령어🌐 네트워크 접근🔑 환경 변수

안전한 CI/CD 시크릿 관리

CI/CD 파이프라인은 하드코딩된 값, 로그 또는 취약한 접근 제어를 통해 자격 증명을 노출하는 경우가 많습니다. 이 스킬은 Claude, Codex, Claude Code가 더 안전한 시크릿 저장, 조회, 교체 및 스캔 워크플로를 설계하도록 돕습니다.

지원: Claude Codex Code(CC)
Maintain this Skill? Claim it ⚠️ 38 나쁨

내 에이전트로 설치

이 요청을 에이전트에 복사하세요. 공식 Skill 페이지와 매니페스트가 포함되어 있습니다.

에이전트 요청
Review the Skillstore skill "secrets-management" from https://skillstore.io/skills/wshobson-secrets-management.md and its manifest at https://skillstore.io/api/skills/wshobson-secrets-management/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

에이전트는 계속해서 계획을 표시하고 보안 정책에서 요구하는 확인을 요청해야 합니다.

에이전트가 읽기 쉬운 리소스

AI 에이전트, 크롤러, 스크립트가 전체 페이지 대신 정리된 컨텍스트만 필요할 때 이 링크를 사용하세요.

Markdown 상세 GET /skills/wshobson-secrets-management.md 서명된 manifest GET /api/skills/wshobson-secrets-management/manifest 서명된 lockfile GET /api/skills/wshobson-secrets-management/lockfile

테스트해 보기

"secrets-management" 사용 중입니다. 저장소 시크릿을 사용하고 배포 중 환경 변수를 출력하는 파이프라인을 검토하세요.

예상 결과:

검토 결과 시크릿 로깅을 가장 큰 위험으로 표시하고, 마스킹을 권장하며, 직접 echo 명령을 제거하고, 범위가 지정된 환경 시크릿을 제안합니다.

"secrets-management" 사용 중입니다. 프로덕션 데이터베이스 비밀번호를 위한 교체 프로세스를 만드세요.

예상 결과:

계획은 새 비밀번호 생성, 시크릿 저장소 업데이트, 애플리케이션 접근 검증, 오류 모니터링 및 이전 비밀번호 폐기를 다룹니다.

"secrets-management" 사용 중입니다. 개발자 및 CI 워크플로에 시크릿 스캔을 추가하세요.

예상 결과:

결과는 로컬 pre-commit 스캔, 필수 CI 스캔, 명확한 실패 메시지 및 승인된 오탐 처리를 위한 프로세스를 권장합니다.

보안 감사

높은 위험
v8 • 2026. 7. 8. 버전별 보고서 열기

The skill is documentation-only and contains no prompt injection attempt or runtime code. Most command, URL, and environment detections are false positives from fenced examples, but several examples teach unsafe secret handling through CI log output, Terraform state persistence, and weak demo credentials.

1
스캔된 파일
347
분석된 줄 수
6
검토 항목
0
오탐 무시됨

확인된 보안 우려 사항 (3)

높음
SKILL.md:170-174SKILL.md:179-186SKILL.md:195-199
Secret Values Printed to CI Logs
Several CI examples use echo with API keys or database URLs. This teaches users to place secret values in build logs, where they may be retained or shared.
The examples explicitly print secret variables using echo. This is direct evidence of a log disclosure pattern.
높음
SKILL.md:152-163
Terraform State May Store Secret Values
The Terraform example reads a database password from AWS Secrets Manager and assigns it to an RDS password field. Terraform state can retain that value.
The snippet shows the secret value assigned into Terraform-managed infrastructure. Terraform state commonly records resource arguments unless a provider handles them as write-only.
중간
SKILL.md:52-64
Insecure Demo Credentials Lack Strong Warning
The Vault setup example uses a root token and a literal password value. It is labeled as a dev server, but the snippet needs a clearer non-production warning.
The context says dev server, which reduces severity. The root token and simple password are still risky if copied into reusable automation.
기능 검토 항목 (6)

이 스킬에 대해 예상될 수 있는 실제 로컬 기능이므로 검토가 필요하지만, 확인된 악의적 동작으로는 집계되지 않습니다.

높음
SKILL.md:162
Database connection strings
password = jsondecode(data.aws_secretsmanager_secret_version.db_password.secret_string)["
The Terraform example passes a retrieved database password into a resource argument, which can persist secret material in Terraform state. This is a real exposure risk even though the value comes from Secrets Manager.
높음
SKILL.md:174
Database connection strings
echo "Database URL: ${{ secrets.DATABASE_URL }}"
The CI example echoes a database URL secret into job logs. Masking can fail for derived or unconfigured values, so this encourages credential disclosure.
높음
SKILL.md:199
Database connection strings
- echo "Database: $DATABASE_URL"
The GitLab example echoes a database URL variable into job logs. This can disclose credentials embedded in the connection string.
높음
SKILL.md:173
Generic API/secret keys
echo "API Key: ${{ secrets.API_KEY }}"
The GitHub Actions example prints an API key secret with echo. Even with masking, examples should never instruct users to write secret values to logs.
높음
SKILL.md:186
Generic API/secret keys
echo "Deploying with ${{ secrets.PROD_API_KEY }}"
The environment secret example prints a production API key in a deployment log line. This is a direct secret disclosure pattern.
높음
SKILL.md:198
Generic API/secret keys
- echo "Deploying with $API_KEY"
The GitLab variable example echoes an API key into job output. CI logs are commonly retained and shared, so this is a real leakage risk.

위험 요인

⚙️ 외부 명령어 (40)
SKILL.md:52-65 SKILL.md:65-69 SKILL.md:69-94 SKILL.md:94-98 SKILL.md:98-111 SKILL.md:111-113 SKILL.md:113-119 SKILL.md:119-123 SKILL.md:123-127 SKILL.md:127-148 SKILL.md:148-152 SKILL.md:152-164 SKILL.md:164-170 SKILL.md:170-175 SKILL.md:175-179 SKILL.md:179-187 SKILL.md:187-189 SKILL.md:189-195 SKILL.md:195-200 SKILL.md:200-224 SKILL.md:224-251 SKILL.md:251-265 SKILL.md:265-305 SKILL.md:305-311 SKILL.md:311-324 SKILL.md:324-328 SKILL.md:328-335 SKILL.md:335-339 SKILL.md:339-340 SKILL.md:340-344 SKILL.md:344-345 SKILL.md:345-346 SKILL.md:107 SKILL.md:108 SKILL.md:137-140 SKILL.md:316 SKILL.md:98-111 SKILL.md:127-148 SKILL.md:311-324 SKILL.md:312
🌐 네트워크 접근 (5)
SKILL.md:57 SKILL.md:83 SKILL.md:102 SKILL.md:274 SKILL.md:57
🔑 환경 변수 (19)
SKILL.md:131 SKILL.md:132 SKILL.md:87 SKILL.md:93 SKILL.md:107 SKILL.md:110 SKILL.md:142 SKILL.md:146 SKILL.md:153 SKILL.md:162 SKILL.md:174 SKILL.md:199 SKILL.md:88 SKILL.md:93 SKILL.md:108 SKILL.md:110 SKILL.md:173 SKILL.md:186 SKILL.md:198
감사자: codex 감사 이력 보기 →
이 보고서 공유 및 인용

버전이 지정된 평가 보고서, 중립 배지, 임베드 카드 및 인용을 공유하세요. Skillstore는 근거를 보고하지만 이 Skill의 안전 여부를 판단하지 않습니다.

버전별 보고서 열기
보안 평가

보고서 링크 복사

https://skillstore.io/skills/wshobson-secrets-management/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 배지

[![Skillstore security assessment](https://skillstore.io/badges/skills/wshobson-secrets-management/security.svg)](https://skillstore.io/skills/wshobson-secrets-management?utm_source=security_passport_badge)

HTML 배지

<a href="https://skillstore.io/skills/wshobson-secrets-management?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/wshobson-secrets-management/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

임베드 카드

<iframe src="https://skillstore.io/embed/skills/wshobson-secrets-management.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
학술 인용 (APA · BibTeX · CFF)

APA 인용

wshobson. (2026). secrets-management security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/wshobson-secrets-management/audits/8

BibTeX 인용

@techreport{wshobson-wshobson-secrets-management-2026, author = {wshobson}, title = {secrets-management security audit report (audit version 8)}, institution = {Skillstore}, year = {2026}, number = {8}, url = {https://skillstore.io/skills/wshobson-secrets-management/audits/8}, note = {Author version unspecified} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "secrets-management security audit report (audit version 8)" version: "unspecified" type: report authors: - name: "wshobson" date-released: "2026-07-08" url: "https://skillstore.io/skills/wshobson-secrets-management/audits/8" identifiers: - type: other value: "skillstore:wshobson-secrets-management:audit:8" description: "Skillstore immutable audit report identifier"

변형 비교

설치 가능한 변형 2개

각 작성자의 스킬은 별도의 설치 항목으로 유지됩니다. 추천 변형은 Skillstore 근거로 순위가 정해집니다.

이 변형이 1위인 이유

Skillstore 사용량이 더 높음
wshobson 권장 현재

wshobson-secrets-management

Skillstore 점수 38
증거 신뢰도 중간
Skillstore 사용량 16
업데이트됨

2026-09-09

sickn33

sickn33-secrets-management

Skillstore 점수 38
증거 신뢰도 중간
Skillstore 사용량 14
업데이트됨

2026-09-09

Skillstore 점수

이 점수의 이유 증거 신뢰도: 중간
55
아키텍처
85
유지보수성
87
콘텐츠
71
커뮤니티
91
사양 준수

만들 수 있는 것

CI/CD 파이프라인 강화

하드코딩된 자격 증명을 관리형 시크릿과 더 안전한 조회 단계로 대체합니다.

시크릿 교체 계획

데이터베이스 비밀번호, API 키 또는 배포 자격 증명을 위한 교체 프로세스를 만듭니다.

시크릿 스캔 표준화

실수로 시크릿이 커밋되는 것을 차단하는 pre-commit 및 CI 검사를 추가합니다.

이 프롬프트를 사용해 보세요

시크릿 위험 식별 
하드코딩된 시크릿, 안전하지 않은 로깅, 누락된 시크릿 마스킹이 있는지 내 CI/CD 파이프라인을 검토하세요. 가장 큰 위험부터 설명하세요.
시크릿 조회 설계 
시크릿 값을 출력하지 않고 Vault 또는 AWS Secrets Manager에서 배포 시크릿을 조회하는 GitHub Actions 워크플로를 설계하세요.
교체 계획 수립 
검증, 롤백, 감사 로깅 및 이전 시크릿 폐기를 포함한 데이터베이스 자격 증명용 프로덕션 시크릿 교체 계획을 작성하세요.
멀티 클라우드 제어 감사 
이 CI/CD 아키텍처에 대해 Vault, AWS Secrets Manager, Azure Key Vault, Google Secret Manager를 비교하세요. 최소 권한 접근 제어를 권장하세요.

모범 사례

  • CI 출력 또는 진단 로그를 작성하기 전에 시크릿 값을 마스킹하고 삭제 처리하세요.
  • 최소 권한 ID를 사용하고 개발, 스테이징 및 프로덕션용 시크릿을 분리하세요.
  • 시크릿을 정기적으로 교체하고 시크릿 접근 및 변경에 대한 감사 로그를 유지하세요.

피하기

  • 파이프라인 로그에 API 키, 데이터베이스 URL 또는 토큰을 echo하지 마세요.
  • 프로덕션 시크릿을 저장소 파일이나 재사용 가능한 샘플 스니펫에 저장하지 마세요.
  • 범위가 지정된 역할로 충분한 경우 CI 작업에 광범위한 클라우드 권한을 부여하지 마세요.

자주 묻는 질문

이 스킬은 명령을 실행하거나 시크릿 저장소에 연결하나요?
아니요. 지침과 예제만 제공합니다. 사용자는 자신의 환경에서 명령을 실행하고 조정해야 합니다.
어떤 시크릿 플랫폼을 다루나요?
Vault, AWS Secrets Manager, Azure Key Vault, Google Secret Manager, GitHub Secrets, GitLab variables 및 External Secrets Operator를 다룹니다.
CI/CD에서 하드코딩된 시크릿을 제거하는 데 도움이 되나요?
예. 하드코딩된 값에서 관리형 시크릿 저장소 및 플랫폼 기본 시크릿 변수로 마이그레이션하도록 안내할 수 있습니다.
게시된 스킬은 위험이 없나요?
아니요. 감사 결과 프로덕션에 복사하기 전에 경고로 취급하고 수정해야 하는 안전하지 않은 로깅 예제가 발견되었습니다.
보안 검토를 대체하나요?
아니요. 팀은 여전히 IAM 정책, Vault 정책, 감사 로깅 및 컴플라이언스 요구사항을 검토해야 합니다.
사용자는 예제 스니펫을 어떻게 다뤄야 하나요?
사용자는 이를 신중하게 조정하고, 시크릿을 출력하는 명령을 모두 제거한 뒤, 먼저 비프로덕션 자격 증명으로 테스트해야 합니다.

개발자 세부 정보

작성자

wshobson

라이선스

MIT

Skillstore 리비전

r1

버전 안내

작성자가 버전을 선언하지 않았습니다.

리포지토리

https://github.com/wshobson/agents/tree/main/plugins/cicd-automation/skills/secrets-management

참조

64ca8af0f54a325752f08bd54e52151061ea659a

유지보수 최신성

2026. 7. 25.

사용량

8 다운로드 · 279 조회

파일 구조

📄 SKILL.md

wshobson의 다른 스킬

전체 보기

관련 스킬

전체 보기