pikasTech-unidesk/.agents/skills/unidesk-secret/SKILL.md

name, description

name	description
unidesk-secret	UniDesk 统一管理员密码的 YAML-first 分发与清理技能。用户提到统一管理员密码、unified-admin-password、OA/PikaOA、SelfMedia、HWLAB/lab、Sub2Rank 或 ApiState 的管理员密码轮换、Secret 同步、开发版与生产版密码对齐、清理服务级 admin password 时使用。

UniDesk 统一管理员密码

遵循 Skill(cli-spec)，只通过 owning YAML、领域受控 CLI 和 web-probe 分发与验收，不读取、打印或从运行面反解密码。

唯一事实源

• 统一管理员密码只保存在 /root/.unidesk/.env/unified-admin-password.txt。
• 文件必须是 owner-only 0600 raw file，只包含一行密码。
• config/secrets-distribution.yaml 声明 raw-file source 和 Kubernetes targetKey 映射。
• config/pikaoa.yaml 声明 PikaOA development/release 管理员密码来源。
• config/hwlab-node-lanes.yaml 声明 HWLAB development/production bootstrap admin hash 来源。
• config/hwlab-web-probe-sentinel/*.yaml 的 bootstrap-admin 和 admin account 来源必须指向同一文件。
• 各应用可以保留不同 targetKey、Secret 名和 hash transform，但不得保留不同密码来源。

明确边界

• 统一以下管理员登录：
  • PikaOA pikaoa 与 pikaoa-dev；
  • SelfMedia selfmedia 与 selfmedia-production；
  • HWLAB v03 与 production；
  • Sub2Rank/ApiState 的 APISTATE_WEB_PASSWORD。
• 不统一以下非管理员凭据：
  • PikaOA employee 密码；
  • API key、session secret、admin token；
  • 数据库密码和 FRP token；
  • Sub2Rank 访问 Sub2API 的 SUB2API_ADMIN_PASSWORD；
  • HWLAB 第二测试账号和 OpenCode 账号密码。

分发流程

1. 先确认 source 文件 presence、字节数、SHA-256 fingerprint 和 0600，不得输出内容。
2. 检查 owning YAML 中所有管理员 sourceRef 均指向统一文件。
3. 对每个 Secret scope 先执行 secrets plan，再执行 secrets sync --confirm，最后按 job ID 查询终态并执行 secrets status。
4. HWLAB 先执行 hwlab nodes secret ensure --node NC01 --lane <lane> --name <bootstrap-secret> --dry-run，确认后改为 --confirm 同步 hash Secret 和 rollout。
5. 用领域 status/validate 确认 Secret key presence、fingerprint、Deployment rollout 和 health；输出必须保持 valuesPrinted=false。
6. 用 web-probe 从 owning YAML 选择 public origin，分别验证 development 与 production 管理员登录。
7. 只有所有目标分发和登录验收通过后，才清理旧服务级密码文件或 env 键。

Secret 分发高频入口：

bun scripts/cli.ts secrets plan --config config/secrets-distribution.yaml --scope <scope> --target <target>
bun scripts/cli.ts secrets sync --config config/secrets-distribution.yaml --scope <scope> --target <target> --confirm
bun scripts/cli.ts secrets status --config config/secrets-distribution.yaml --scope <scope> --target <target>

目标矩阵：

• pikaoa / pikaoa-nc01；
• pikaoa-dev / pikaoa-dev-nc01；
• selfmedia / selfmedia-nc01；
• selfmedia-production / selfmedia-production-nc01；
• sub2rank / sub2rank-nc01。

清理规则

• 删除 pikaoa-admin-password.txt 和含不可见字符的旧 unified 文件名。
• 从 selfmedia-access.env 删除 SELFMEDIA_ADMIN_PASSWORD，保留 username、API key 和 session secret。
• 从 platform-infra/apistate.env 删除 APISTATE_WEB_PASSWORD，保留 API key 和 session secret。
• 删除只包含 HWLAB_BOOTSTRAP_ADMIN_PASSWORD 的旧 bootstrap-admin env 文件。
• hwlab.auth 或 HWLAB_admin.txt 若同时保存用户名，只删除密码行并保留用户名；owning YAML 不得再引用其密码行。
• 清理后重新执行 plan，确认旧 source 不再是 required source，统一 source 仍为 present。
• 禁止用 Secret decode、Pod env、数据库或日志回填旧来源。

验收判定

• 所有声明只引用一个管理员密码 sourceRef。
• Secret sync 成功，consumer rollout 成功，status key presence 完整。
• PikaOA、SelfMedia、HWLAB、Sub2Rank/ApiState 的 development/production 目标按实际存在矩阵通过管理员登录。
• 旧服务级管理员密码来源已删除或移除对应键。
• 全程只披露路径、键、presence、fingerprint、字节数、job/trace/artifact ID 和状态。