:strip_icc():strip_exif()/u/6697/gerco-icon.jpg?f=community){kind=icon}
Geïnspreerd door de vele "supply chain" aanvallen de laatste tijd en door envchain (wat op Mac en Linux werkt, maar niet op Windows) en een paar soortgelijke tools, heb ik een nieuw tooltje gemaakt over de laatste maanden: Envoke.
Maak een bestand aan in je projectmap wat .envoke heet:
Elke "backend" (keychain, aws) kan ook geconfigureerd worden in een globale configuratie op gebruikersnivo, maar dat is voor eenvoudig gebruik niet nodig. De "keychain" en "aws" backends werken zonder configuratie. Er zijn nog meer backends gepland, maar voorlopig zijn "keychain" en "aws" de enigen die geimplementeerd zijn.
Documentatie | Blog post | github.com/gerco/Envoke
Wat doet het?
Geheimen zoals wachtwoorden, API keys, AWS keys en soortgelijke dingen opslaan in je OS Keychain zodat je die niet als environment variables in je shell hebt zitten en ook niet onbeschermd in je ~/.aws/credentials hebt staan. Daarnaast kun je het ook gebruiken om geheimen te delen met je team door een .envoke bestand aan je Git repo toe te voegen waardoor je makkelijk dezelfde geheimen kunt inladen als je teamgenoot zonder dat die veel hoeft te configureren.Hoe begin je?
Een voorbeeld is waarschijnlijk het makkelijkst:Bash:
De waardes voor de AWS variabelen bestaan alleen tijdens de uitvoering van aws s3 ls en zijn daarna weer verdwenen. Je besturingssysteem past de normale beveiliging toe op deze waardes dus ze kunnen op macOS bijvoorbeeld alleen gelezen worden door de applicatie die ze heeft weggeschreven. Je kunt eisen dat je een wachtwoord moet invoeren voor de waardes beschikbaar worden, etc.1
2
3
4
5
6
7
8
9
| $ envoke set aws-test AWS_ACCESS_KEY_ID Value for aws-test/AWS_ACCESS_KEY_ID: ... $ envoke set aws-test AWS_SECRET_ACCESS_KEY Value for aws-test/AWS_SECRET_ACCESS_KEY: ... $ envoke aws-test -- aws s3 ls 2026-04-29 00:15:10 mijn-s3-bucket 2026-04-28 16:13:01 nog-een-s3-bucket |
Geavanceerd gebruik
Het is zo wel makkelijk om één set waardes vanuit één bron te gebruiken, maar dat is ook wat beperkend. Envoke ondersteund ook configuratiebestanden waarmee je een hele set waardes aan een project kan koppelen en je dan niet meer in het commando hoeft te beschrijven welke waardes je wilt gebruiken: een .envoke bestand.Maak een bestand aan in je projectmap wat .envoke heet:
YAML:
Nu kun je in het project al deze geheimen in één keer inladen:1
2
3
4
5
6
7
8
9
| verbose: true namespaces: - name: aws-test - name: application-config backend: aws - name: test-appclient-credentials backend: aws - name: test-rabbitmq-credentials backend: aws |
Bash:
Hier haalt Envoke eerst de "aws-test" waardes uit de OS keychain op en gebruikt die vervolgens om meer waardes in te laden uit AWS Secrets Manager. Daarna start de applicatie op. .envoke is bedoeld om in Git te worden ingecheckt zodat het beschikbaar is voor alle ontwikkelaars in een team.1
2
3
4
5
6
| $ envoke just backend namespace "aws-test": backend "keychain", fetched 2 key(s) namespace "application-config": backend "aws", fetched 26 key(s) namespace "test-appclient-credentials": backend "aws", fetched 5 key(s) namespace "test-rabbitmq-credentials": backend "aws", fetched 5 key(s) running: just backend |
Elke "backend" (keychain, aws) kan ook geconfigureerd worden in een globale configuratie op gebruikersnivo, maar dat is voor eenvoudig gebruik niet nodig. De "keychain" en "aws" backends werken zonder configuratie. Er zijn nog meer backends gepland, maar voorlopig zijn "keychain" en "aws" de enigen die geimplementeerd zijn.
Documentatie | Blog post | github.com/gerco/Envoke
- "Als ik zou willen dat je het begreep, legde ik het wel beter uit!" | All number systems are base 10!
/u/921017/crop5f32dfc715c9f_cropped.png?f=community)
:strip_icc():strip_exif()/u/416236/1318968209.jpg?f=community)
:strip_exif()/u/1807884/crop6a3ac5fbf39e1_cropped.webp?f=community)
:strip_icc():strip_exif()/u/126677/crop5db3098e0d250.jpeg?f=community)
:strip_exif()/f/image/7lWDrFAZbdKc3ouahAcm4aGz.png?f=user_large)
:strip_exif()/f/image/eIM6kctpEQrieYGIb2Zjr78S.png?f=user_large)
:strip_icc():strip_exif()/u/83088/icon%25203.jpg?f=community)
/u/224026/crop5a1c1a6fcf1b1.png?f=community)
/u/237439/cloudy-small-orange.png?f=community)
:strip_icc():strip_exif()/u/6143/rincewind.jpg?f=community)
:no_upscale():strip_icc():strip_exif()/f/image/fAZhhO7nUwefLw355R2uBlGt.jpg?f=user_large)
:no_upscale():strip_icc():strip_exif()/f/image/nTGqQuoNgGWJZhRNw129XNoC.jpg?f=user_large)
:strip_icc():strip_exif()/u/162674/crop5ea039db94dbf_cropped.jpeg?f=community)
:strip_exif()/f/image/s632Wf1fQ3UA2orLPXTc5HJv.png?f=user_large)
/u/451067/crop64d4d73ce40b8_cropped.png?f=community)
:strip_icc():strip_exif()/u/961/crop69b8f434281b1_cropped.jpg?f=community)
/u/129322/jme.GIF?f=community)
/u/155722/Looneytunes.png?f=community)
:strip_exif()/u/128904/hoagie_ani.gif?f=community)
/u/118423/crop5d79c837dae91_cropped.png?f=community)
/u/30465/billgates2.PNG?f=community)
:strip_exif()/f/image/LrEmsdaGO5579WLzJeqyY0EB.png?f=user_large)
:strip_exif()/f/image/jjhKJKQlYbZYVv1P9hUOYB7J.png?f=user_large)
:strip_exif()/f/image/fOS4qKQ2ROL8bvBTZXRpeto3.png?f=user_large)
:strip_exif()/f/image/vPO3KSSd0DeK3LB44qYwfOZc.png?f=user_large)
:strip_exif()/f/image/XkZSOatcAVsoczHr7zxNDIPg.png?f=user_large)
:strip_exif()/f/image/CtTUu4oB88VyZwjijq9NYjk9.png?f=user_large)
:strip_exif()/f/image/ILIn3mpzxBMROBEJZ11QAEm5.png?f=user_large)
:strip_exif()/f/image/mVEatmkIOkFpcnZ8qiaHkWyR.png?f=user_large)
:strip_exif()/f/image/kkjQJHcJ41jynqqcKBXgkCoY.png?f=user_large)
:strip_exif()/f/image/JJIwYno71u76Nmv9LPWsGRL1.png?f=user_large)
:strip_exif()/f/image/5lKYxNI2wXJPon0OVPH8bpn1.png?f=user_large)
:strip_exif()/f/image/6pkfc0Fj7U68t8tENf08fQnR.png?f=user_large)
:strip_exif()/f/image/LfRFNSZ0d0rji7PVPJTepNkb.png?f=user_large)
:strip_exif()/f/image/POVHK2OruA7VWOclZOI6X0Wf.png?f=user_large)
:strip_icc():strip_exif()/u/25009/crop65f1e3109d1b7_cropped.jpg?f=community)
:strip_exif()/u/77024/crop60704b71085e6_cropped.gif?f=community)
/u/102105/crop56f481fe1f74f.png?f=community)
Ik miste gewoon een c
/u/9258/killbill.png?f=community)
Het is alleen wachten tot een of andere overijverige regulator gaat klagen dat het een :strip_exif()/f/image/e38itL3xNhzjdoC5dEHijoKa.png?f=user_large)
:strip_exif()/f/image/8haiwBorDsUgDc5eKorJCbry.png?f=user_large)
/u/211309/crop61b0ff95cd8ef.png?f=community)
/u/1110603/crop6a566e2ae8bbd_cropped.png?f=community)
:strip_icc():strip_exif()/u/5964/crop56503163e97a5.jpeg?f=community)
:strip_icc():strip_exif()/u/626559/crop59916d9743d5c_cropped.jpeg?f=community)
) wat dus gegarandeerd anoniem is. Mijn Metadata service weet nooit wat iemand opvraagt, want voordat je een film kunt zoeken wordt gewoon de hele metadata-info-library lokaal gedownload en daar wordt dus pas gezocht naar een barcode/titel. Als hij hem kan vinden (wat vooral in het begin gebeurt), dan komt dat request wel door mijn systeem heen, maar er wordt helemaal niets gelogd qua device/IP etc in de logs. Pas als je data wilt contributen, dan zul je je tegenover het systeem moeten 'identificeren', maar dat is opt-in. Default staat dat uit. Ook al wordt er niets opgeslagen, want ik heb geen zin om data te verzamelen.
:strip_icc():strip_exif()/u/116726/crop5e3ee297a8a03_cropped.jpeg?f=community)
:strip_icc():strip_exif()/u/134130/crop656d9955ccc54.jpg?f=community)
:strip_exif()/f/image/kJx944BHahYxqZKBpkK1Y6Yd.png?f=user_large)
![[Afbeelding]](https://tweakers.net/i/zYbqTX3MaC6KKf-a6RhkAmnXyeg=/fit-in/4000x4000/filters:no_upscale():strip_exif()/f/image/3pGoM0rJapdSXyhoUJlCYRoG.png?f=user_large){kind=link}
![[Afbeelding]](https://tweakers.net/i/Ex1pWl8Tm8m9ta_MGVKDFgzOAGY=/fit-in/4000x4000/filters:no_upscale():strip_exif()/f/image/gnXcNU6OVPexwIClxWg5PEr3.png?f=user_large){kind=link}
![[Afbeelding]](https://tweakers.net/i/loDuutsu4AdxKgoBvAcKaQDQNho=/fit-in/4000x4000/filters:no_upscale():strip_exif()/f/image/W5oD7HTx65r7aQeb2xDUS2ZK.png?f=user_large){kind=link}
![[Afbeelding]](https://tweakers.net/i/dHXN7gHxSo5q453-u0nH4z3dR2w=/fit-in/4000x4000/filters:no_upscale():strip_exif()/f/image/UVb3ugzmXJjksGdWf8yYVNUp.png?f=user_large){kind=link}
![[Afbeelding]](https://tweakers.net/i/w7BzYMr6vutzqeFLfvtLtDUF5_A=/fit-in/4000x4000/filters:no_upscale():strip_exif()/f/image/zZyQAacfgoVBXh1Z8W0ongEU.png?f=user_large){kind=link}