7.4 Identity, Secrets, and Key Management (1.6%)

Quản lý API key và bí mật giữa dev/prod, xác thực danh tính và giám sát truy cập.

1. Lưu key trong secrets manager, xoay vòng định kỳ; nghi lộ → vô hiệu hóa/xóa ngay, tạo key mới và kiểm tra usage.
2. Workload Identity Federation: workload xác thực bằng token OIDC ngắn hạn từ identity provider của bạn thay vì API key dài hạn.
3. Tách workspace và key theo môi trường; không bao giờ để key trong code client hay repo.
4. Loại key: personal key (hành động như bạn, dùng cho dev cá nhân), service account key (cho CI/production), workspace key (legacy). Key gắn danh tính hết hiệu lực khi danh tính bị gỡ; chọn hạn dùng khi tạo; key giới hạn một workspace không cần header anthropic-workspace-id.