【摘要】最安全的凭证是 Agent 从未见过的凭证；但凭证不会消失，只会集中；集中之后真正的功夫在于把"解密权"从存密文的进程手里拿走；而 OpenBao 2.7 新增的 Control Groups，让这件事第一次可以做成"系统里没有任何组件持有能独立执行的常驻解密能力"——这是 AWS KMS 两条路线... 阅读全文