# creating-secrets-using-best-practices

Ведёт агента по созданию секрета в AWS Secrets Manager: отдельный ключ KMS, узкие права IAM, ротация и аудит. Пригодится, когда секрет идёт в прод.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 6700 установок · ★ 3282
- Автор: aws
- Лицензия: Apache-2.0 · policy=mirror · лицензия открытая, файл — в исходнике
- Исходник: https://github.com/aws/agent-toolkit-for-aws/tree/HEAD/skills/specialized-skills/security-and-identity-skills/creating-secrets-using-best-practices/SKILL.md
- Обновлён: 2026-10-23
- HTML: https://affpapa.org/nevibecode/skills/creating-secrets-using-best-practices

## Что делает

Скилл задаёт порядок создания секрета в AWS Secrets Manager. Он ведёт агента по процедуре из `references/create-secrets-using-best-practices.md`: отдельный ключ KMS, политика IAM с минимальными правами, запись событий в CloudTrail, автоматическая ротация и жизненный цикл секрета. Типы секретов — учётные данные базы данных, ключи API, OAuth-токены и произвольные значения.

Рядом с процедурой лежит разбор типовых сбоев. Нет доступа к ключу KMS? Проверяется, что у IAM-принципала есть `kms:CreateKey` и `kms:PutKeyPolicy`, а политика ключа разрешает `kms:GenerateDataKey`, `kms:Decrypt` и `kms:DescribeKey` с условием `kms:ViaService` на `secretsmanager.<region>.amazonaws.com`.

Ротация держится на Lambda-функции: если её нет или она не дотягивается до целевой системы, шаг настройки ротации падает, и смотреть надо в логи CloudWatch. Отказ в доступе к секрету обычно значит, что политика IAM висит не на том принципале или обращение идёт не по HTTPS. Это повод проверить обе стороны, а не переписывать политику наугад.

## Требования
- Работает с: AWS

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add aws/agent-toolkit-for-aws --skill creating-secrets-using-best-practices -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/creating-secrets-using-best-practices/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/creating-secrets-using-best-practices/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add aws/agent-toolkit-for-aws --skill creating-secrets-using-best-practices -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/creating-secrets-using-best-practices/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add aws/agent-toolkit-for-aws --skill creating-secrets-using-best-practices -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/creating-secrets-using-best-practices/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install aws/agent-toolkit-for-aws creating-secrets-using-best-practices
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/creating-secrets-using-best-practices/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add aws/agent-toolkit-for-aws --skill creating-secrets-using-best-practices -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/aws/agent-toolkit-for-aws --path skills/specialized-skills/security-and-identity-skills/creating-secrets-using-best-practices
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/creating-secrets-using-best-practices/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add aws/agent-toolkit-for-aws --skill creating-secrets-using-best-practices -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/aws/agent-toolkit-for-aws/tree/HEAD/skills/specialized-skills/security-and-identity-skills/creating-secrets-using-best-practices/SKILL.md

## Когда брать
- завести секрет в AWS Secrets Manager с отдельным ключом KMS
- включить автоматическую ротацию для пароля к базе
- выдать принципалу ровно те права на ключ, что нужны для чтения и записи
- разобраться, почему Lambda-ротация не достучалась до целевой системы
- включить аудит доступа к секретам через CloudTrail

## Примеры запросов агенту
- Создай секрет с паролем для продакшен-базы в AWS Secrets Manager по этой процедуре
- Почему секрет не читается, если политика IAM и политика ключа KMS уже на месте?
- Настрой ротацию ключа API через Lambda и скажи, что смотреть в CloudWatch при сбое

## Похожие
- [aws-secrets-manager](https://affpapa.org/nevibecode/skills/devops-skills-aws-secrets-manager.md) — скилл · 335 установок
- [aws-sdk-java-v2-secrets-manager](https://affpapa.org/nevibecode/skills/aws-sdk-java-v2-secrets-manager.md) — скилл · 3700 установок
- [cloud-audit](https://affpapa.org/nevibecode/skills/cloud-audit.md) — скилл · 352 установки
- [aws-iam](https://affpapa.org/nevibecode/skills/devops-skills-aws-iam.md) — скилл · 333 установки
- [secrets-vault-manager](https://affpapa.org/nevibecode/skills/secrets-vault-manager.md) — скилл · 697 установок
- [aws-sdk-java-v2-kms](https://affpapa.org/nevibecode/skills/aws-sdk-java-v2-kms.md) — скилл · 3700 установок

Из того же набора: [aws/agent-toolkit-for-aws](https://affpapa.org/nevibecode/by/aws/agent-toolkit-for-aws.md) — 133 карточки

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md