SikkerKey

vault

• บันทึกการตรวจสอบ
• การแจ้งเตือน
• รายการอนุญาต IP
• ถังขยะ
• เครื่องจักร
  • เครื่องจักรมาตรฐาน
  • เครื่องจักรชั่วคราว
  • โทเค็นการลงทะเบียนและเครื่องจักรแบบชั่วคราว

แอปพลิเคชันและโปรเจกต์

• แอปพลิเคชัน
• โปรเจกต์แบบสแตนด์อโลน
• ความลับ
  • ความลับมาตรฐาน
  • ความลับแบบมีโครงสร้าง
  • ความลับที่จัดการ
  • ความลับแบบเช่า
  • ความลับใบรับรอง
  • ความลับแบบคานารี
  • ความลับแบบ TTL
• นโยบายการเข้าถึง

องค์กรและการจัดการทีม

• องค์กร
• บทบาท Vault
• บทบาทการเข้าถึง
• การเข้าสู่ระบบครั้งเดียว (SSO)

บัญชี

• การสนับสนุน
• การตั้งค่า

เครื่องมือ

• CLI
• MCP Server
• ภาพรวม SDK
• SDK
  • Kotlin SDK
  • Go SDK
  • Python SDK
  • Node.js SDK
  • .NET SDK
  • PHP SDK
• อุโมงค์

ความปลอดภัย

• ภาพรวมความปลอดภัย
• นำคีย์ของคุณเอง (BYOK)
• ความปลอดภัยของ SikkerLink

เครื่องมือ/MCP Server

MCP Server

เชื่อมต่อไคลเอนต์ AI ที่เข้ากันได้กับ MCP เข้ากับ SikkerKey ผ่านเอกลักษณ์ AI-agent ที่เฉพาะเจาะจง จำกัดขอบเขต ตรวจสอบได้ และไม่เห็นข้อความธรรมดา

อัปเดตเมื่อ 22 วันที่แล้ว

เซิร์ฟเวอร์ MCP ของ SikkerKey เชื่อมต่อไคลเอนต์ AI ที่เข้ากันได้กับ MCP เข้ากับระนาบการจัดการของ SikkerKey ช่วยให้ผู้ช่วย AI ช่วยจัดการโปรเจกต์ เมตาดาต้าความลับ นโยบาย เครื่องจักร การแจ้งเตือน กิจกรรมการตรวจสอบ และการดำเนินการ vault อื่นๆ ผ่านเอกลักษณ์ AI-agent ที่เฉพาะเจาะจง

เซิร์ฟเวอร์ MCP ไม่สามารถอ่านค่าความลับที่จัดเก็บได้ มันสามารถสร้างหรือแทนที่ค่าที่คุณตั้งใจให้ได้ แต่ไม่มีเครื่องมือใดสามารถดึงข้อความธรรมดาของความลับที่จัดเก็บไว้ได้

---

#วิธีการทำงาน

เซิร์ฟเวอร์ MCP ทำงานในเครื่องเป็นกระบวนการย่อยของไคลเอนต์ AI ของคุณและสื่อสารกับมันผ่านอินพุตและเอาต์พุตมาตรฐาน เมื่อ AI เรียกใช้เครื่องมือ SikkerKey เซิร์ฟเวอร์จะลงนามคำขอ API ของ SikkerKey ที่เกี่ยวข้องด้วยเอกลักษณ์ AI-agent ที่เลือก

• เอกลักษณ์ในเครื่อง. คีย์ส่วนตัว Ed25519 ของ AI-agent ถูกสร้างและจัดเก็บบนคอมพิวเตอร์ของคุณ เฉพาะคีย์สาธารณะเท่านั้นที่ลงทะเบียนกับ SikkerKey
• คำขอที่ลงนาม. ทุกคำขอครอบคลุมเมธอด HTTP, พาธ, ไทม์สแตมป์, nonce แบบใช้ครั้งเดียว, และแฮชของบอดี้คำขอ คำขอที่ถูกแก้ไขหรือเล่นซ้ำจะไม่ผ่านการตรวจสอบ
• การอนุญาตแบบจำกัดขอบเขต. ขอบเขตการจัดการควบคุมการดำเนินการทั่วทั้ง vault บทบาทการเข้าถึงควบคุมแอปพลิเคชัน โปรเจกต์ ประเภทความลับ การดำเนินการเครื่องจักร และความสามารถด้านนโยบายที่เอเจนต์สามารถเข้าถึงได้
• ผูกกับผู้สร้างแบบเรียลไทม์. การเข้าถึงที่มีผลของเอเจนต์จะไม่มีวันเกินการเข้าถึงปัจจุบันของผู้สร้าง หากการเข้าถึงของบุคคลนั้นถูกลดหรือลบออก สิทธิ์ของเอเจนต์จะลดลงในคำขอถัดไป
• การระบุแหล่งที่มาอย่างเต็มรูปแบบ. ทุกการเปลี่ยนแปลงที่สำเร็จจะถูกบันทึกในบันทึกการตรวจสอบภายใต้เอกลักษณ์ของ AI-agent

---

#ข้อกำหนด

• Vault ของ SikkerKey
• สิทธิ์ในการจัดเตรียม AI-agent ใน vault
• ไคลเอนต์ AI ที่เข้ากันได้กับ MCP
• แพลตฟอร์มเดสก์ท็อปหรือเซิร์ฟเวอร์ที่รองรับ

เซิร์ฟเวอร์ที่แพ็กเกจรองรับ Linux บน x64 และ arm64, macOS บน x64 และ Apple silicon, และ Windows บน x64 มันทำงานกับไคลเอนต์ MCP ใดก็ได้ที่สามารถเปิดเซิร์ฟเวอร์ผ่าน stdio

ไคลเอนต์ที่มีการกำหนดค่าที่สร้างขึ้น

• Claude Code
• Claude Desktop
• Cursor
• Codex

---

#ติดตั้งเซิร์ฟเวอร์

ติดตั้งคำสั่งแบบ global ด้วย npm:

bashCopy

npm install -g sikkerkey-mcp

คุณยังสามารถรันคำสั่งโดยไม่ต้องติดตั้งแบบ global:

bashCopy

npx sikkerkey-mcp <subcommand>

---

#ตั้งค่า AI-agent

ในแดชบอร์ด SikkerKey เปิด Machines → AI Agents และเลือก Bootstrap AI agent

เลือกขอบเขตการจัดการและบทบาทการเข้าถึงที่เอเจนต์ควรได้รับ จากนั้นคัดลอกโทเค็น bootstrap แบบใช้ครั้งเดียว

ลงทะเบียนเอกลักษณ์บนคอมพิวเตอร์ที่จะรันเซิร์ฟเวอร์ MCP

อนุมัติ AI-agent ที่รอดำเนินการในแดชบอร์ด

สร้างการกำหนดค่าสำหรับไคลเอนต์ AI ของคุณ วางลงในไฟล์การกำหนดค่าที่ระบุ และรีสตาร์ทไคลเอนต์

ขอให้ไคลเอนต์ที่เชื่อมต่อเรียก whoami และยืนยัน vault, ขอบเขต, การเข้าถึงโปรเจกต์, และสถานะเอเจนต์ที่แสดง

ลงทะเบียนเอกลักษณ์

bashCopy

sikkerkey-mcp install <bootstrap-token>

เพิ่มชื่อแสดงในเครื่องแบบไม่บังคับระหว่างการลงทะเบียน:

bashCopy

sikkerkey-mcp install <bootstrap-token> -name="Operations assistant"

การลงทะเบียนสร้างคู่คีย์ Ed25519 ในเครื่องและจัดเก็บเอกลักษณ์ภายใต้:

textCopy

~/.sikkerkey/agents/<agent-id>/

ไดเรกทอรีเอเจนต์ ไฟล์เอกลักษณ์ และคีย์ส่วนตัวถูกสร้างด้วยสิทธิ์ที่จำกัด เอเจนต์ยังคงรอดำเนินการจนกว่าคุณจะอนุมัติจากแดชบอร์ด

สร้างการกำหนดค่าไคลเอนต์

bashCopy

sikkerkey-mcp config claude-code
sikkerkey-mcp config claude-desktop
sikkerkey-mcp config cursor
sikkerkey-mcp config codex

แต่ละคำสั่งพิมพ์บล็อกการกำหนดค่าที่พร้อมวางและตำแหน่งที่ไคลเอนต์นั้นใช้ การกำหนดค่าที่สร้างขึ้นจะเปิด sikkerkey-mcp serve และเลือกเอเจนต์ด้วย SIKKERKEY_AGENT_ID

ใช้เอกลักษณ์ AI-agent แยกสำหรับแต่ละไคลเอนต์ สภาพแวดล้อมอัตโนมัติ หรือขอบเขตความเชื่อถือ เพื่อให้สิทธิ์และการระบุแหล่งที่มาในบันทึกการตรวจสอบง่ายต่อการตรวจสอบ

---

#ตรวจสอบการเชื่อมต่อ

หลังจากรีสตาร์ทไคลเอนต์ AI ขอให้ใช้ whoami การเรียกนี้พร้อมใช้งานเสมอและรายงาน:

• ID และชื่อของ AI-agent
• สถานะการอนุมัติและการเปิดใช้งาน
• ขอบเขตการจัดการที่ได้รับ
• บทบาทการเข้าถึงและแอปพลิเคชันและโปรเจกต์ที่เข้าถึงได้
• ความสามารถต่อโปรเจกต์
• รายการตรวจสอบ 20 รายการล่าสุดที่ระบุถึงเอเจนต์

ใช้ whoami ที่จุดเริ่มต้นของเซสชันที่ละเอียดอ่อนหรือหลังจากเปลี่ยนบทบาทของผู้สร้าง ขอบเขตของเอเจนต์ หรือบทบาทการเข้าถึง

---

#สิ่งที่เครื่องมือสามารถจัดการได้

คุณสามารถอธิบายผลลัพธ์ที่ต้องการด้วยภาษาปกติ ไคลเอนต์ AI จะเลือกเครื่องมือและการกระทำที่เหมาะสม ในขณะที่ SikkerKey ตรวจสอบการอนุญาตปัจจุบันของเอเจนต์สำหรับทุกคำขออย่างอิสระ

Tool	Purpose
whoami	ยืนยันเอเจนต์ที่ใช้งาน สิทธิ์ การเข้าถึงโปรเจกต์ สถานะ และกิจกรรมล่าสุดที่ระบุ
manage_projects	เรียกดูแอปพลิเคชันและโปรเจกต์ที่เอเจนต์สามารถเข้าถึงได้
manage_secrets	จัดการเมตาดาต้าความลับ ค่า เวอร์ชัน การหมุนเวียน และความลับที่จัดการตามกำหนดการภายในโปรเจกต์ที่ได้รับอนุญาต
manage_temporary_secrets	สร้างและตรวจสอบการแชร์ความลับแบบใช้ครั้งเดียวที่ทำลายตัวเองได้
manage_policies	สร้างและจัดการนโยบายการเข้าถึงและการผูกความลับของนโยบาย
manage_canaries	ปลูก กำหนดค่า ติดอาวุธ หรือปลดอาวุธความลับแบบคานารีและกู้คืนโปรเจกต์ที่ถูกแช่แข็ง
manage_machines	แสดงรายการ ตรวจสอบ อนุมัติ ปฏิเสธ เปลี่ยนชื่อ หรือเพิกถอนเอกลักษณ์เครื่องจักร
manage_project_machines	แนบเครื่องจักรกับโปรเจกต์และจัดการสิทธิ์ต่อความลับที่ชัดเจน
manage_enrollment	ออก ตรวจสอบ และเพิกถอนโทเค็นการลงทะเบียนสำหรับเครื่องจักรชั่วคราว
manage_ai_agents	ตรวจสอบและจัดการสถานะวงจรชีวิต ชื่อ และการอนุมัติของ AI-agent
manage_alerts	เลือกว่าการดำเนินการตรวจสอบใดที่ทริกเกอร์การแจ้งเตือน
manage_webhooks	สร้างและจัดการ webhook การส่งการแจ้งเตือนที่ลงนาม
manage_ipallowlist	จัดการรายการอนุญาต IP ของ vault ที่ใช้สำหรับการตรวจสอบสิทธิ์และการลงทะเบียนเครื่องจักร
manage_trash	แสดงรายการ กู้คืน หรือล้างความลับที่ถูกลบแบบอ่อนอย่างถาวร
read_audit	ค้นหากิจกรรม ส่งออกหลักฐานการตรวจสอบ และตรวจสอบสถิติการใช้งาน
support	เปิด อ่าน ตอบกลับ และให้คะแนนตั๋วสนับสนุน
manage_sdks	ค้นหาคำแนะนำการติดตั้งและเริ่มต้นอย่างรวดเร็วสำหรับ SDK รันไทม์อย่างเป็นทางการ

เครื่องมือที่แสดงให้ไคลเอนต์ AI เห็นมีความเสถียร แต่การกระทำแต่ละรายการจะสำเร็จก็ต่อเมื่อเอเจนต์ที่เลือกมีขอบเขตและความสามารถโปรเจกต์ที่จำเป็นในเวลาที่เรียก

---

#ขอบเขตการจัดการและการเข้าถึงโปรเจกต์

AI-agent ได้รับชุดสิทธิ์สองชุดที่เสริมกัน

ขอบเขตการจัดการ

ขอบเขตการจัดการควบคุมพื้นที่ทั่วทั้ง vault เช่น เครื่องจักร AI-agent การลงทะเบียน การตรวจสอบ การแจ้งเตือน webhook รายการอนุญาต IP ถังขยะ และการสนับสนุน ขอบเขตการอ่านและการเขียนสามารถให้แยกกันได้ในที่ที่ฟีเจอร์รองรับ

บทบาทการเข้าถึง

บทบาทการเข้าถึงควบคุมระนาบโปรเจกต์ มันกำหนดว่าแอปพลิเคชันและโปรเจกต์แบบสแตนด์อโลนใดปรากฏต่อเอเจนต์และสิ่งที่มันสามารถทำได้ในแต่ละโปรเจกต์ รวมถึงประเภทความลับที่อนุญาต การแนบเครื่องจักรและสิทธิ์ นโยบาย และคานารี

SikkerKey ตัดกันชุดสิทธิ์ทั้งสองกับการเข้าถึงปัจจุบันของผู้สร้างในทุกคำขอ เอเจนต์ไม่สามารถใช้เครื่องมือ MCP เพื่อแทนที่ขอบเขตการจัดการหรือบทบาทการเข้าถึงของตัวเองได้

เริ่มต้นด้วยชุดขอบเขตและความสามารถโปรเจกต์ที่เล็กที่สุดที่ครอบคลุมเวิร์กโฟลว์ที่ตั้งใจไว้ เพิ่มการเข้าถึงทีหลังจากแดชบอร์ดเมื่อเอเจนต์ต้องการจริงๆ

---

#วิธีจัดการค่าความลับที่จัดเก็บ

พื้นผิว MCP แยกการบริหารความลับออกจากการดึงความลับในรันไทม์

• การอ่านเมตาดาต้า. การแสดงรายการความลับ การเปิดรายละเอียด หรือการดูประวัติเวอร์ชันจะส่งคืนตัวระบุ ชื่อ ประเภท ชื่อฟิลด์ หมายเหตุ เวอร์ชัน และไทม์สแตมป์—ไม่ใช่ค่าที่จัดเก็บ
• การสร้างและอัปเดต. เมื่อคุณตั้งใจให้ค่าสำหรับการสร้างหรือแทนที่ ค่านั้นจะผ่านไคลเอนต์ AI เข้าสู่คำขอเขียนที่ลงนามและถูกเข้ารหัสโดย SikkerKey การตอบกลับส่งคืนเมตาดาต้าและไม่สะท้อนค่ากลับ
• การหมุนเวียนที่สร้างโดยเซิร์ฟเวอร์. การหมุนเวียนและการสร้างความลับที่จัดการสามารถสร้างค่าใหม่ภายใน SikkerKey AI ได้รับเวอร์ชันใหม่และเมตาดาต้ากำหนดการ ไม่ใช่ข้อความธรรมดาที่สร้างขึ้น
• การดึงในรันไทม์. แอปพลิเคชันอ่านความลับผ่าน SDK อย่างเป็นทางการหรือ CLI โดยใช้เอกลักษณ์เครื่องจักรแยกต่างหาก เอกลักษณ์ AI-agent ไม่สามารถตรวจสอบสิทธิ์เป็นเครื่องจักรได้

วางค่าข้อความธรรมดาลงในการสนทนากับ AI เฉพาะเมื่อคุณตั้งใจให้ไคลเอนต์ AI นั้นส่งค่าในการเขียนความลับ หลังจากการจัดเก็บ MCP ไม่สามารถอ่านค่านั้นกลับได้

ข้อมูลประจำตัวแบบใช้ครั้งเดียว

การดำเนินการจัดการบางอย่างส่งคืนข้อมูลประจำตัวที่สร้างใหม่ครั้งเดียวเพื่อให้คุณสามารถตั้งค่าให้เสร็จสมบูรณ์ ซึ่งรวมถึงโทเค็นการลงทะเบียน ความลับการลงนาม webhook ใหม่ และโทเค็นและรหัสผ่านสำหรับการแชร์ความลับชั่วคราว เก็บหรือส่งมอบในเวลาที่สร้าง การแสดงรายการและรายละเอียดในภายหลังจะไม่เปิดเผย

การแชร์ความลับชั่วคราวมีไว้สำหรับผู้รับที่เป็นมนุษย์ การเปิดลิงก์จะใช้การเปิดเผยแบบครั้งเดียว ดังนั้น AI ควรส่งรายละเอียดการแชร์แทนที่จะเปิดลิงก์

---

#การตรวจสอบ การอนุมัติ และการเพิกถอน

SikkerKey บันทึกการดำเนินการจัดการแต่ละรายการด้วย ID และชื่อของ AI-agent คุณสามารถตรวจสอบกิจกรรมจากบันทึกการตรวจสอบในแดชบอร์ดหรือผ่าน read_audit กฎการแจ้งเตือนและ webhook สามารถแจ้งให้คุณทราบเมื่อมีการดำเนินการของเอเจนต์ที่เลือก

ไคลเอนต์ AI ของคุณควบคุมพรอมต์การยืนยันของตัวเองก่อนส่งการเรียกเครื่องมือ กำหนดค่าไคลเอนต์นั้นให้ต้องยืนยันสำหรับการเปลี่ยนแปลงที่สมควรได้รับการตรวจสอบจากมนุษย์ โดยเฉพาะการลบถาวร การเปลี่ยนแปลงการเข้าถึง การเพิกถอนเครื่องจักร การเปลี่ยนแปลงนโยบาย การเปลี่ยนแปลงรายการอนุญาต IP และข้อความที่ส่งภายนอก

ปิดใช้งานหรือเพิกถอนเอเจนต์

• ปิดใช้งาน. ปฏิเสธคำขอที่ลงนามของเอเจนต์ทันทีในขณะที่รักษาขอบเขตและบทบาทการเข้าถึงไว้สำหรับการเปิดใช้งานใหม่ในภายหลัง
• เพิกถอน. ลบเอกลักษณ์ AI-agent ฝั่งเซิร์ฟเวอร์และทำให้คู่คีย์ในเครื่องไม่สามารถใช้สำหรับคำขอในอนาคต

ทั้งสองมีผลในคำขอถัดไป จัดการวงจรชีวิตฝั่งเซิร์ฟเวอร์จากแดชบอร์ด หลังจากการเพิกถอน ให้ลบสล็อตเอกลักษณ์ในเครื่อง:

bashCopy

sikkerkey-mcp revoke <agent-id>

คำสั่งเพิกถอนในเครื่องจะลบไฟล์จากคอมพิวเตอร์นี้ มันไม่ได้เพิกถอน AI-agent ในแดชบอร์ด SikkerKey

---

#ใช้ AI agent มากกว่าหนึ่งตัว

คอมพิวเตอร์สามารถจัดเก็บข้อมูลประจำตัวของ AI agent ได้หลายตัว แสดงรายการข้อมูลประจำตัวในเครื่องที่ลงทะเบียนด้วย:

bashCopy

sikkerkey-mcp whoami

การกำหนดค่าไคลเอนต์ที่สร้างขึ้นจะสร้างรายการเซิร์ฟเวอร์แยกต่างหากสำหรับแต่ละข้อมูลประจำตัว หากคุณกำหนดค่าเซิร์ฟเวอร์ด้วยตนเอง ให้ตั้งค่า SIKKERKEY_AGENT_ID เป็น agent ที่แน่นอนที่ไคลเอนต์ควรใช้:

jsonCopy

{
  "mcpServers": {
    "sikkerkey": {
      "command": "sikkerkey-mcp",
      "args": ["serve"],
      "env": {
        "SIKKERKEY_AGENT_ID": "agent_..."
      }
    }
  }
}

เมื่อติดตั้งข้อมูลประจำตัวเพียงหนึ่งตัว เซิร์ฟเวอร์จะเลือกโดยอัตโนมัติ เมื่อมีหลายตัวและไม่ได้กำหนดค่า agent ID การเริ่มต้นจะหยุดและถามให้คุณเลือกแทนที่จะเลือกโดยปริยาย

---

#ตัวแปรสภาพแวดล้อม

Variable	วัตถุประสงค์
SIKKERKEY_AGENT_ID	เลือกข้อมูลประจำตัว AI agent ในเครื่องที่ใช้โดย MCP server
SIKKERKEY_HOME	เปลี่ยนรากข้อมูลประจำตัว SikkerKey ในเครื่องจากค่าเริ่มต้น ~/.sikkerkey

---

#อ้างอิงคำสั่ง

Command	วัตถุประสงค์
sikkerkey-mcp install	ลงทะเบียนข้อมูลประจำตัว AI agent ในเครื่องใหม่จากโทเค็นแดชบอร์ดแบบใช้ครั้งเดียว
sikkerkey-mcp whoami	แสดงรายการข้อมูลประจำตัว AI agent ที่ลงทะเบียนในเครื่อง
sikkerkey-mcp config	พิมพ์การกำหนดค่าสำหรับ Claude Code, Claude Desktop, Cursor หรือ Codex
sikkerkey-mcp serve	รัน MCP server ผ่าน stdio
sikkerkey-mcp revoke [agent-id]	ลบช่องข้อมูลประจำตัว AI agent ในเครื่อง
sikkerkey-mcp	รัน MCP server; เทียบเท่ากับ serve

---

#ซอร์สโค้ดและใบอนุญาต

เซิร์ฟเวอร์ SikkerKey MCP เป็นโอเพนซอร์สเต็มรูปแบบภายใต้ใบอนุญาต MIT ตรวจสอบการรับรองความถูกต้อง การจัดเก็บข้อมูลประจำตัว การจัดการโปรโตคอล สคีมาเครื่องมือ และพฤติกรรมการร้องขอผ่านองค์กร SikkerKeyOfficial บน GitHub

ในหน้านี้

• วิธีการทำงาน
• ข้อกำหนด
• ติดตั้งเซิร์ฟเวอร์
• ตั้งค่า AI agent
• ตรวจสอบการเชื่อมต่อ
• เครื่องมือสามารถจัดการอะไรได้บ้าง
• ขอบเขตการจัดการและการเข้าถึงโปรเจกต์
• วิธีจัดการค่าลับที่จัดเก็บ
• การตรวจสอบ การอนุมัติ และการเพิกถอน
• ใช้ AI agent มากกว่าหนึ่งตัว
• ตัวแปรสภาพแวดล้อม
• อ้างอิงคำสั่ง
• ซอร์สโค้ดและใบอนุญาต