Bei ERPC CLI anmelden und sehen, wo Ihre Schlüssel aufbewahrt werden

Melden Sie diesen Rechner an, und ERPC CLI bewahrt die Sitzung in Ihrem Schlüsselbund oder in 1Password auf. Diese Seite zeigt außerdem, wo Knotenschlüssel liegen und welche Dateien erpc aufbewahrt.

Diese Seite beschreibt ERPC CLI v0.1.0-rc.4, eine Vorabversion.

erpc signup     # opens the sign-up page
erpc login      # signs this machine in; the session goes to the keychain or 1Password
erpc whoami

erpc signup     # opens the sign-up page
erpc login      # signs this machine in; the session goes to the keychain or 1Password
erpc whoami

erpc login erhält die Sitzung über den OAuth Device Authorization Grant. Auf einem Rechner ohne Browser gibt erpc login --no-browser die URL und den Code aus, statt einen Browser zu öffnen, und erpc signup --no-browser gibt die Registrierungs-URL aus. erpc whoami zeigt, wem die gespeicherte Sitzung gehört, und erpc logout meldet ab und entfernt die gespeicherte Sitzung.

An einem Terminal fragt erpc login, welcher Speicherort verwendet werden soll: der Schlüsselbund des Betriebssystems, der Standard, oder 1Password, wenn es antwortet. --store und --vault treffen die Wahl ohne Nachfrage, und die Wahl wird in config.toml festgehalten, wo die anderen Befehle sie lesen.

Wurde keine Wahl angegeben oder festgehalten, verwendet erpc einen 1Password-Service-Account, wenn OP_SERVICE_ACCOUNT_TOKEN gesetzt ist, andernfalls den Schlüsselbund des Betriebssystems, sofern es einen gibt, andernfalls eine Datei in seinem Zustandsverzeichnis. erpc doctor meldet, welcher Speicherort verwendet wird und warum. Mit einem Service-Account übergibt erpc OP_SERVICE_ACCOUNT_TOKEN nur an die Prozesse von op, die es selbst startet, und schreibt dieses Token nirgendwohin.

Das 1Password-Element trägt den Namen des Rechners als Titel, damit sich zwei Rechner nie eine Sitzung teilen. ERPC_HOST_LABEL überschreibt den Namen.

Der Schlüsselbund ist der Secret Service, sofern einer antwortet. Andernfalls ist es der persistente Kernel-Keyring Ihres Benutzers, der im Arbeitsspeicher liegt und nie auf dem Datenträger: Die Sitzung bleibt bis zu einem Neustart bestehen oder bis sie einige Tage nicht genutzt wurde, danach wird erneut erpc login verlangt. Eine Shell, die ohne eigenen Login gestartet wurde (su ohne -, sudo -E), kann diesen Keyring nicht verwenden; erpc lehnt dann ab und weist darauf hin.

erpc greift über /usr/bin/security auf den Schlüsselbund zu. Jedes andere Programm, das unter Ihrem Benutzer läuft, kann die Sitzung lesen, indem es ebenfalls security ausführt; der Schlüsselbund hält die Sitzung dennoch im Ruhezustand verschlüsselt und von anderen Benutzern fern.

erpc schreibt die Sitzung in drei Fällen in sein Zustandsverzeichnis: mit dem Speicherort file, für eine geparkte Sitzung (ein rotiertes Refresh-Token, das den Speicherort nicht erreichen konnte) und nach einem unterbrochenen Schreibvorgang. erpc doctor meldet jede solche Datei, solange sie existiert. Unter Unix werden diese Dateien mit dem Modus 0600 angelegt; unter Windows setzt erpc keine eigenen Berechtigungen.

Das Knoteninventar und die Backups der Originalschlüssel, die der Leitfaden jeder Chain nennt, werden in 1Password aufbewahrt. Nicht jeder Schlüssel liegt in 1Password, und ein Knoten kann einen Schlüssel halten, den er für den Betrieb braucht. Sichern Sie selbst, was auf einem Host liegt: Wer diesen Host ohne Backup neu aufbaut, verliert es. Ein aktiver Sui-Validator oder ein gewählter TRON-Witness lehnt außerdem einen Umzug auf einen neuen Host ab.

Andere RPC-Knoten halten keinen Signaturschlüssel für einen Validator, aber ihre Hosts bewahren auf, was der Client für sich selbst erzeugt, etwa ein Engine-JWT, eine Peer-Identität oder ein RPC-Cookie.

Ein Schlüssel-Backup allein macht die Wiederherstellung eines Validators nicht sicher. Befolgen Sie das Wiederherstellungsverfahren der Chain, bevor Sie einen Server ersetzen oder seine Daten wiederherstellen; der Leitfaden jeder Chain beschreibt, wie ihre Schlüssel wiederhergestellt werden (Knoten).

Ein einziger Befehl schreibt Knotenschlüssel auf Ihrem Rechner auf den Datenträger: erpc validator vote-account schreibt die Identitäts- und Vote-Schlüssel in Dateien mit 0600 unter dem Zustandsverzeichnis, während die Solana CLI läuft, und vernichtet sie danach. Ein Prozess, der abstürzt, kann eine Datei hinterlassen, bis ein späterer Lauf sie beseitigt.

Der Trading-Schlüssel und die Secrets einer Anwendung von erpc worker werden getrennt davon aufbewahrt: Schlüssel und Secrets.