Accedi a ERPC CLI e vedi dove vengono conservate le tue chiavi

Accedi da questa macchina, ed ERPC CLI conserva la sessione nel tuo portachiavi o in 1Password. Questa pagina mostra anche dove vengono conservate le chiavi dei nodi e quali file conserva erpc.

Questa pagina descrive ERPC CLI v0.1.0-rc.4, una versione pre-release.

erpc signup     # opens the sign-up page
erpc login      # signs this machine in; the session goes to the keychain or 1Password
erpc whoami

erpc signup     # opens the sign-up page
erpc login      # signs this machine in; the session goes to the keychain or 1Password
erpc whoami

erpc login ottiene la sessione tramite l'OAuth device authorization grant. Su una macchina senza browser, erpc login --no-browser stampa l'URL e il codice invece di aprire un browser, ed erpc signup --no-browser stampa l'URL di iscrizione. erpc whoami mostra a chi appartiene la sessione memorizzata, ed erpc logout esegue la disconnessione e rimuove la sessione memorizzata.

Da un terminale, erpc login chiede quale archivio usare: il portachiavi del sistema operativo, che è l'opzione predefinita, oppure 1Password quando risponde. --store e --vault scelgono senza chiedere, e la scelta viene registrata in config.toml, dove la leggono gli altri comandi.

Senza una scelta, indicata o registrata, erpc usa un account di servizio 1Password quando OP_SERVICE_ACCOUNT_TOKEN è impostato, altrimenti il portachiavi del sistema operativo quando ce n'è uno, altrimenti un file nella sua directory di stato. erpc doctor indica quale archivio è in uso e perché. Con un account di servizio, erpc passa OP_SERVICE_ACCOUNT_TOKEN solo ai processi op che avvia, e non scrive quel token da nessuna parte.

L'elemento di 1Password prende come titolo il nome della macchina, così due macchine non condividono mai una stessa sessione. ERPC_HOST_LABEL sostituisce il nome.

Il portachiavi è il Secret Service, dove ce n'è uno che risponde. Altrimenti è il keyring persistente del kernel per il tuo utente, che sta in memoria e mai su disco: la sessione dura fino a un riavvio o a qualche giorno di inutilizzo, dopodiché viene richiesto di nuovo erpc login. Una shell avviata senza un proprio login (su senza -, sudo -E) non può usare quel keyring, ed erpc si rifiuta e lo segnala.

erpc raggiunge il portachiavi tramite /usr/bin/security. Qualsiasi altro programma eseguito con il tuo utente può leggere la sessione eseguendo anch'esso security, mentre il portachiavi mantiene comunque la sessione cifrata a riposo e fuori dalla portata degli altri utenti.

erpc scrive la sessione nella sua directory di stato in tre casi: con l'archivio file, per una sessione parcheggiata (un refresh token ruotato che non è riuscito a raggiungere l'archivio) e dopo una scrittura interrotta. erpc doctor segnala ciascuno di questi file finché esiste. Su Unix questi file vengono creati con modalità 0600; su Windows erpc non imposta permessi propri.

L'inventario dei nodi, e i backup delle chiavi originali indicati dalla guida di ogni chain, sono conservati in 1Password. Non tutte le chiavi sono in 1Password, e un nodo può contenere una chiave di cui ha bisogno per funzionare. Fai tu il backup di ciò che si trova su un host: ricostruire quell'host senza un backup significa perderlo. Inoltre, un validator Sui attivo o un witness TRON eletto si rifiuta di spostarsi su un nuovo host.

Gli altri nodi RPC non contengono alcuna chiave di firma per un validator, ma i loro host conservano ciò che il client crea per sé, come un JWT dell'engine, un'identità di peer o un cookie RPC.

Un backup delle chiavi da solo non rende sicuro il ripristino di un validator. Segui la procedura di ripristino della chain prima di sostituire un server o di ripristinarne i dati; la guida di ogni chain spiega come ripristinarne le chiavi (Nodi).

Un solo comando scrive chiavi dei nodi su disco sulla tua macchina: erpc validator vote-account scrive le chiavi dell'identity e di voto in file 0600 nella directory di stato mentre è in esecuzione la Solana CLI, e poi le cancella. Un processo che termina in modo anomalo può lasciare un file finché un'esecuzione successiva non lo rimuove.

La chiave di trading e i secret di un'app erpc worker sono conservati separatamente da queste: Chiavi e secret.