CLIの認証情報を表示せずに渡す

dosyaのAPIキーを標準入力またはシークレットの環境変数から渡し、ファイルを非公開に保ちながら、認証情報をログに記録せずに失効させます。

dosyaのAPIキーはdos_で始まります。シークレットをリテラルの引数として渡すと、プロセス一覧やシェルの履歴に公開されるおそれがあるため避けてください。キーをコマンドラインで直接渡すと、CLIに警告が表示されます。

始める前に

シークレットを表示せずに一時的な環境変数に読み込んでください。取得時とCLIの呼び出し時はコマンドのトレースを無効にしてください。
1つのコマンドで使う場合は、そのプロセスにだけDOSYA_API_KEYをエクスポートしてください。認証情報を保存する場合は、--key -を使い、サポートされている標準入力からキーを受け取る形式にシークレットをパイプしてください。
dosya whoami --jsonを実行し、目的の識別情報であることを確認してください。環境を表示せずに標準出力と標準エラー出力を取得してください。
プロセスの終了直後にシェル変数を解除してください。ジョブログ、クラッシュレポート、デバッグ用ラッパーが環境を出力しないことを確認してください。
そのマシンに保存された認証情報だけを削除する場合はローカルのサインアウトを使ってください。サーバーのキーも無効にする場合はlogout --revokeを使ってください。
失効の結果を確認してください。サーバーでの失効ができなかった場合は再試行できるようローカルのキーが残ります。一方、401の場合は既に使えないローカルの認証情報が消去されます。設定の出力でキーが伏せ字のままであることを確認してください。

キーをargvやログに残さずにCLIが認証され、保存されたファイルは非公開のままです。サインアウトの動作は、ローカルのみの削除かサーバーでの失効かという選択に一致します。

CLIにリテラルのキーについて警告が表示される場合 公開された認証情報をローテーションし、標準入力または環境変数へのシークレットの注入に切り替えてください。

ネットワークエラーで失効できない場合 サーバーでの操作を再試行できるようローカルのキーは残ります。それまで設定ファイルを保護してください。

CIログに環境が出力されている場合 環境を出力する手順を削除し、キーをローテーションしてください。config getの伏せ字処理では、他のログツールの出力を無害化できません。