Ein Dienstkonto ist ein Zugang für Maschinen: CI-Pipelines, Server, Skripte und KI-Agenten. Es hat kein Master-Passwort, sondern ein Token. Es sieht nur die Tresore, die Sie ihm geben, und nur so lange, bis es abläuft oder Sie es widerrufen. Dienstkonten sind kostenlos und zählen nie als Mitglieder.
Ein Dienstkonto anlegen
- Öffnen Sie in der Web-App Entwickler → Dienstkonten und legen Sie ein neues an.
- Vergeben Sie einen Namen, etwa „GitHub Actions Produktion“.
- Wählen Sie die Tresore und je Tresor Lesen oder Lesen und schreiben.
- Wählen Sie ein Ablaufdatum: 30, 90 oder 365 Tage oder nie.
- Kopieren Sie das Token. Passbox zeigt es nur einmal und schließt den Dialog erst, wenn Sie bestätigen, dass Sie es gespeichert haben.
Ein verlorenes Token lässt sich nicht wiederherstellen. Legen Sie dann ein neues Dienstkonto an.
Verwenden
Mit dem Token nutzt die Kommandozeile das Dienstkonto statt Ihres Kontos:
export PASSBOX_SERVER=https://app.passbox.net
export PASSBOX_SERVICE_ACCOUNT_TOKEN=pbx_sa_… # aus dem Geheimnisspeicher Ihrer CI
pbx read pbx://CI/Database/password
pbx run --env-file .env.pbx -- ./deploy.shAlle Befehle für Tresore (item, list, get, read, inject, run, env, mcp) laufen dann über das Dienstkonto. Auf die Platte schreibt pbx dabei nichts.
Wie das Token geschützt ist
- Das Token enthält ein Geheimnis mit 256 Bit. Der Server sieht es nie.
pbxleitet daraus einen Schlüssel zur Anmeldung und getrennt davon einen Schlüssel zum Entschlüsseln ab. Wer die Datenbank des Servers hat, kann die Tresore des Dienstkontos nicht öffnen. - Ein Dienstkonto hat nie mehr Rechte als die Person, die es angelegt hat. Verliert sie den Zugriff auf einen Tresor oder darf ihn nur noch ansehen, gilt das sofort auch für das Dienstkonto.
- Gäste können Dienstkonten keinen Zugriff auf Tresore geben, die mit ihnen geteilt sind.
Verwalten
Unter Entwickler → Dienstkonten sehen Sie jedes Dienstkonto mit seinen Tresoren und seiner Aktivität. Jeder Lese- und Schreibzugriff wird protokolliert. Sie können Tresore hinzufügen, entfernen und das Dienstkonto widerrufen oder löschen.
Bekommt ein geteilter Tresor einen neuen Schlüssel, weil jemand entfernt wurde, kann das Dienstkonto neu verschlüsselte Einträge nicht mehr lesen. Das ist Absicht: Weiterer Zugriff soll eine bewusste Entscheidung sein. Wählen Sie dann Zugriff erneuern.
Empfehlungen
- Ein Dienstkonto pro Pipeline, Server oder Agent.
- Ein eigener Tresor nur mit dem, was die Maschine braucht.
- Nur Lesezugriff, wo es geht, und immer ein Ablaufdatum.
- Widerrufen Sie das Token, wenn ein Rechner ausgemustert wird oder das Token bekannt geworden sein könnte. Ein Widerruf wirkt sofort. Was jemand vorher mit dem Token heruntergeladen hat, kann er behalten. Ändern Sie dann die betroffenen Geheimnisse.
Grenzen
Auf passbox.net sind bis zu zehn aktive Dienstkonten pro Person enthalten. In einer Business-Organisation teilen sich die Mitglieder einen Vorrat von zehn pro Mitglied. Auf einem eigenen Server gibt es standardmäßig keine Grenze. Die Seite Dienstkonten zeigt, wie viele Sie nutzen.
Noch nicht möglich sind Dienstkonten, die einer Organisation statt einer Person gehören, Einschränkungen auf IP-Adressen und das Wechseln eines Tokens ohne neues Dienstkonto.