シークレット

Composia は age 暗号化を使用して期待状態リポジトリ内の暗号化シークレットファイルを管理します。暗号化と復号はコントローラー上で行われます。エージェントは age 秘密鍵に一切アクセスしません。

設定

シークレットには age 鍵ペアが必要です。コントローラー設定で設定します:

controller:
  secrets:
    provider: age
    identity_file: "/app/configs/age-identity.key"

キー	型	必須	説明
`provider`	`string`	はい	`age` である必要があります。
`identity_file`	`string`	はい	age 秘密鍵ファイルへのパス。
`recipient_file`	`string`	いいえ	age 受信者（公開鍵）を含むファイルへのパス。省略した場合、受信者は秘密鍵から導出されます。
`armor`	`bool`	いいえ	ASCII アーマー出力を使用します。デフォルトは `true`。

鍵ペアの生成:

age-keygen -o age-identity.key

オプション: 公開鍵を受信者として抽出:

age-keygen -y age-identity.key > age-recipients.txt

リポジトリ内のシークレットファイルは慣例として .enc 拡張子を持ちます。age 暗号化された暗号文として保存されます:

my-app/
├── docker-compose.yaml
├── composia-meta.yaml
└── .secret.env.enc        (age で暗号化)

コントローラーは書き込み時に平文を暗号化し、読み取り時に復号します。リポジトリには暗号文のみが含まれます。シークレットがリポジトリ内、タスクログ内、またはエージェントへの転送中に平文で現れることはありません。

デプロイまたは更新タスクのレンダリングステップ中に、コントローラーは:

バンドルはエージェントレポート接続を通じてエージェントにストリーミングされます。エージェントはバンドルをディスクに書き込み、docker compose up を続行します。復号されたシークレット環境は、エージェントが秘密鍵を見ることなく Compose サービスから利用可能になります。

暗号化シークレットファイルの書き込み:

composia secret update my-app .secret.env.enc --file ./local-plain.env

シークレットファイルの読み取りと復号:

composia secret get my-app .secret.env.enc

シークレットのインプレース編集（エディタが開きます）:

composia secret edit my-app .secret.env.enc

すべてのシークレット書き込み操作には、同時変更との競合を防ぐためのベースリビジョンチェックが含まれます。

シークレットファイルのパスは:

コントローラーはサービスを見つけ、サービスディレクトリからの相対パスとしてファイルパスを解決し、リポジトリファイルに対して操作を行います。

シークレット未設定: controller.secrets が設定されていない場合、GetSecret と UpdateSecret は FailedPrecondition を返します。
ファイルが見つからない: GetSecret はファイルが存在しない場合、エラーではなく空のコンテンツレスポンスを返します。これによりクライアントはファイル不在と復号失敗を区別できます。
ベースリビジョン競合: UpdateSecret はリポジトリ HEAD に対して CAS（compare-and-swap）を使用します。最後の読み取り以降にリポジトリが変更された場合、書き込みはリビジョン競合で失敗します。

最終更新日 16, 2026 • Renovate Bot