Stärken

Service-Accounts geben einem Skript Lesezugriff auf genau einen Vault und sonst nichts

Die CLI reicht Secrets zur Laufzeit in einen Befehl, nichts landet auf der Platte

Geteilte Vaults machen es leicht, einem Freelancer eine einzelne Zugangsdaten zu geben

Browser- und SSH-Agent-Integration funktionieren einfach

1Password ist ein Passwortmanager, dem eine Kommandozeile gewachsen ist. Die App macht, was du erwartest: Logins, Karten, Notizen, geteilte Vaults fürs Team. Den Platz auf dieser Seite verdient sie sich mit der CLI und den Service-Accounts, die aus demselben Vault einen Secret-Speicher machen, den deine Skripte lesen können.

So nutze ich es

Jeder API-Schlüssel, den ich besitze, liegt in einem Vault. Ein Skript, das einen braucht, liest keine Datei; es fragt die CLI zur Laufzeit, mit einem Service-Account-Token, das genau einen Vault sieht und sonst nichts. Das Ergebnis: Keins meiner Repositories enthält ein Secret, und ein neuer Rechner ist eingerichtet, sobald ein Token im Shell-Profil steht. Wenn ich einen Schlüssel rotiere, ändere ich ihn an einer Stelle, und jedes Skript nimmt ihn beim nächsten Lauf.

Überrascht hat mich, wie gut der SSH-Agent funktioniert. Schlüssel liegen im Vault, der Agent liefert sie, und ein neues Laptop pusht zehn Minuten nach dem Auspacken zu GitHub. Was mich nervt, sind zwei Kleinigkeiten, die echte Zeit kosten. Service-Accounts müssen bei jedem Aufruf den Vault nennen, und ein Befehl, der für mein persönliches Konto lief, scheitert für den Service-Account still, bis du das Flag ergänzt. Und die CLI greift manchmal zum macOS-Schlüsselbund, wenn ein Skript ohne Bildschirm läuft, und dann wartet das Skript auf einen Dialog, den niemand sieht. Um beides lernst du herumzugehen, aber auf die harte Tour.

Der Preis pro Nutzer ist fair für Menschen und leicht ärgerlich, sobald Maschinen sich wie Nutzer verhalten.

Für wen es ist

Für alle, die Code schreiben, der mit APIs spricht. Wer nur einen Passwortmanager für den Browser braucht, fährt mit den günstigeren Optionen gut, der Unterschied spielt dann keine Rolle. Wer je einen Schlüssel aus Versehen committet oder eine .env-Datei per SSH kopiert hat, hat hier die Lösung, und der Individual-Plan reicht zum Start. Lass es, wenn du mit deinem Manager zufrieden bist und nie Skripte laufen lässt; du würdest für die Hälfte zahlen, die du nicht nutzt.

Ähnliche Tools