setup-secrets

dotenvx + Keychain セットアップ

dotenvx で .env を暗号化し、秘密鍵を macOS Keychain に保存します。

前提条件

• devShell が有効であること（dotenvx が使える）
• macOS であること（security コマンドが使える）

セットアップフロー

Step 1: .env ファイル作成

.env.example をコピーして .env を作成:

cp .env.example .env

参加者に .env の値を編集してもらってください。

Step 2: dotenvx で暗号化

dotenvx encrypt

これにより:

• .env の値が暗号化される
• DOTENV_PUBLIC_KEY が .env 内に追加される
• DOTENV_PRIVATE_KEY が .env.keys に書き出される

Step 3: 秘密鍵を Keychain に保存

.env.keys から DOTENV_PRIVATE_KEY の値を取得して Keychain に保存:

# .env.keys から秘密鍵を取得
PRIVATE_KEY=$(grep DOTENV_PRIVATE_KEY .env.keys | cut -d'=' -f2 | tr -d '"')

# Keychain に保存
security add-generic-password -a "$USER" -s "cc-handson" -w "$PRIVATE_KEY"

Step 4: .env.keys の扱いを説明

.env.keys は平文の秘密鍵ファイルです:

• 削除してもOK: Keychain に保存済みなので不要
• 残してもOK: .gitignore に入っているのでgitには入らない
• 教材ポイント: 「Claude Code が cat .env.keys で読めてしまう」→「Keychain に逃がせば平文がディスクに残らない」

Step 5: 動作確認

.envrc が Keychain から秘密鍵を取得して復号できることを確認:

# direnv reload で .envrc を再読み込み
direnv reload

# 復号が正しく動くか確認（値は表示しない）
dotenvx run -- echo "secrets loaded successfully"

Keychain の管理

# 保存した秘密鍵を確認
security find-generic-password -a "$USER" -s "cc-handson"

# 削除する場合
security delete-generic-password -a "$USER" -s "cc-handson"

セキュリティモデル

Layer 1: allowed-tools（構造的制御）
  → このスキルだけが security add-generic-password を実行可能
  → dotenvx スキルは dotenvx run / dotenvx get のみ

Layer 2: rules/secrets-policy.md（LLM ソフト制御）
  → 通常会話でも secret を平文出力しない

Layer 3: direnv + Keychain（インフラ層）
  → .envrc が Keychain から自動取得 → 平文ファイルなし