@dotrino/vault 0.45.1 → 0.47.0

package/bin/dotrino-env.js

@@ -2,14 +2,14 @@
 /**
  * dotrino-env — CLI del "dotenv contra el vault".
  *
- *   dotrino-env enroll --ns <ns> [--qr <invitación>]   enrola ESTA máquina/servicio (una vez)
+ *   dotrino-env enroll --vault <b> --ns <ns> [--qr <inv>]   enrola ESTA máquina (una vez)
  *   dotrino-env status                                  qué hay enrolado aquí
  *   dotrino-env check [--ns <ns>]                       pide los secretos y lista sus NOMBRES (nunca valores)
  *   dotrino-env run [--ns <ns>] -- <cmd> [args…]        corre un comando con los secretos en su entorno
  *
  * El enrolamiento es el registro del cliente contra el vault del dueño:
  *   1. en el vault:   dotrino-vault pair --service <ns>      (invitación con scope SOLO vault:secrets:<ns>)
- *   2. aquí:          dotrino-env enroll --ns <ns>           (pegas la invitación; se MUESTRA un código)
+ *   2. aquí:          dotrino-env enroll --vault <b> --ns <ns>  (pegas la invitación; se MUESTRA un código)
  *   3. en el vault:   dotrino-vault approve <código>         (lo tipeas leyéndolo de esta pantalla)
  */
 import fs from 'node:fs'
@@ -17,7 +17,7 @@ import path from 'node:path'
 import readline from 'node:readline/promises'
 import { spawn } from 'node:child_process'
 import { enrollService, readServiceIdentity, fetchSecrets } from '../src/service.js'
-import { loadEnv, serviceDir, serviceRoot, listEnrolled, resolveNs } from '../src/env.js'
+import { loadEnv, serviceDir, serviceRoot, listEnrolled, resolveNs, resolveVaultLabel, isValidVaultLabel } from '../src/env.js'
 // Se usaba sin importarlo: `enroll` —el comando principal— moría con
 // «sharedParseInvite is not defined» en cuanto tocaba una invitación. Nunca
 // llegó a funcionar, y por eso el único servicio enrolado del ecosistema (el
@@ -30,14 +30,14 @@ const flag = (name) => { const i = argv.indexOf('--' + name); return i >= 0 ? ar
 function help () {
   console.log(`dotrino-env — credenciales del vault en vez del .env
 
-  enroll --ns <ns> [--code <invitación>] [--dir <dir>]
+  enroll --vault <bóveda> --ns <ns> [--code <invitación>] [--dir <dir>]
         Registra ESTE servicio contra el vault (una sola vez).
         Antes, en el vault:  dotrino-vault pair --service <ns>
         Si no pasas --code (alias --qr), se pide por consola (también acepta stdin).
 
   status                 servicios enrolados en esta máquina
   check [--ns <ns>]      pide los secretos al vault y lista sus NOMBRES (nunca los valores)
-  run [--ns <ns>] -- <cmd> [args…]
+  run --vault <bóveda> [--ns <ns>] -- <cmd> [args…]
   ssh-agent [--ns <ns>] [--socket <ruta>]
                          agente SSH con las llaves (SSH_KEY_* del cajón) solo en memoria;
                          pide el cajón al arrancar. Pon SSH_AUTH_SOCK en la ruta que imprime.
@@ -50,7 +50,7 @@ En tu código:
 El vault MANDA: sus valores pisan los del .env y los del entorno. Para una
 corrida suelta sin que pise nada:  DOTRINO_ENV_OVERRIDE=0
 
-Entorno: DOTRINO_NS · DOTRINO_ENV_DIR · DOTRINO_ENV_HOME · DOTRINO_ENV_QUIET
+Entorno: DOTRINO_NS · DOTRINO_ENV_VAULT · DOTRINO_ENV_DIR · DOTRINO_ENV_HOME · DOTRINO_ENV_QUIET
          DOTRINO_ENV_OVERRIDE`)
 }
 
@@ -73,10 +73,34 @@ async function readInvite () {
   return answer
 }
 
+/**
+ * DE QUÉ BÓVEDA VINO, obligatorio. Etiqueta de ESTA máquina para agrupar sus cajones:
+ * `~/.dotrino/service/<bóveda>/<ns>`. No viaja y no se compara con nada — solo evita que
+ * dos bóvedas con un cajón del mismo nombre se pisen el directorio, que antes dejaba al
+ * primero inservible.
+ *
+ * `--vault` y no `--profile`: `dotrino-vault --profile` ya significa otra cosa y los dos
+ * comandos se usan seguidos.
+ */
+function etiquetaBoveda () {
+  const v = resolveVaultLabel(flag('vault'))
+  if (!v) {
+    console.error('falta --vault <nombre>  (o DOTRINO_ENV_VAULT)')
+    console.error('')
+    console.error('  Dice DE QUÉ BÓVEDA es este cajón. Es una etiqueta tuya, de esta máquina:')
+    console.error('    ~/.dotrino/service/<bóveda>/<ns>')
+    console.error('  Sirve para que dos bóvedas puedan tener un cajón llamado igual.')
+    process.exit(2)
+  }
+  if (!isValidVaultLabel(v)) { console.error('etiqueta inválida: usa [a-z0-9-]{1,32}'); process.exit(2) }
+  return v
+}
+
 async function cmdEnroll () {
   const ns = flag('ns')
   if (!ns) { console.error('falta --ns <ns>  (el mismo del `dotrino-vault pair --service <ns>`)'); process.exit(2) }
-  const dir = flag('dir') || serviceDir(ns)
+  const perfil = etiquetaBoveda()
+  const dir = flag('dir') || serviceDir(bov, ns)
   const qr = parseInvite((flag('qr') || flag('code')) || await readInvite())
 
   console.log('\nEnrolando el servicio "%s" contra el vault…', ns)
@@ -115,11 +139,20 @@ async function cmdEnroll () {
 function cmdStatus () {
   const found = listEnrolled()
   if (!found.length) {
-    console.log('Ningún servicio enrolado en %s\n  Enrola uno:  dotrino-env enroll --ns <ns>', serviceRoot())
+    console.log('Ningún servicio enrolado en %s\n  Enrola uno:  dotrino-env enroll --vault <bóveda> --ns <ns>', serviceRoot())
     return
   }
-  for (const ns of found) {
-    const id = readServiceIdentity(serviceDir(ns))
+  for (const e of found) {
+    // LO QUE QUEDÓ EN EL FORMATO VIEJO se dice y no se usa. Repescarlo en silencio sería
+    // fingir que la migración no hace falta; callarlo dejaría un servicio «desaparecido».
+    if (e.legacy) {
+      const viejo = path.join(serviceRoot(), e.ns)
+      console.log('%s  ⚠ del formato anterior, sin la bóveda — no se usa', e.ns)
+      console.log('  muévelo:  mkdir -p %s/<bóveda> && mv %s %s/<bóveda>/', serviceRoot(), viejo, serviceRoot())
+      continue
+    }
+    const dir = serviceDir(e.vault, e.ns)
+    const id = readServiceIdentity(dir)
     const c = id?.cert
     // El papel se describe por el ACTA a la que se ató. Uno del modelo viejo se dice tal
     // cual, con su fecha, porque ESO sí importa: es lo único que todavía caduca, y sabrá
@@ -127,8 +160,8 @@ function cmdStatus () {
     const papel = typeof c?.seq === 'number'
       ? `acta #${c.seq}`
       : (typeof c?.exp === 'number' ? `modelo viejo · vence ${new Date(c.exp).toISOString().slice(0, 10)}` : '?')
-    console.log('%s\n  dir:   %s\n  vault: %s…\n  scope: %s\n  cert:  %s',
-      ns, serviceDir(ns), String(id.iss).slice(0, 24), (c?.scope || []).join(', '), papel)
+    console.log('%s/%s\n  dir:   %s\n  vault: %s…\n  scope: %s\n  cert:  %s',
+      e.vault, e.ns, dir, String(id.iss).slice(0, 24), (c?.scope || []).join(', '), papel)
   }
 }
 
@@ -137,7 +170,7 @@ async function cmdCheck () {
   // `fetchSecrets` y no `loadEnv`: listar NO debe tener efectos secundarios. Con
   // `loadEnv` esto inyectaría el bundle en el entorno del propio `check`, que es
   // justo lo que un comando de diagnóstico no tiene por qué hacer.
-  const secrets = await fetchSecrets({ dir: serviceDir(ns), ns })
+  const secrets = await fetchSecrets({ dir: serviceDir(etiquetaBoveda(), ns), ns })
   const keys = Object.keys(secrets)
   console.log('ns "%s": %d secreto(s)%s', ns, keys.length, keys.length ? ':' : '')
   for (const k of keys) console.log('  ' + k)   // NUNCA los valores
@@ -151,9 +184,9 @@ async function cmdCheck () {
 async function cmdRun () {
   const sep = argv.indexOf('--')
   const cmd = sep >= 0 ? argv.slice(sep + 1) : []
-  if (!cmd.length) { console.error('uso: dotrino-env run [--ns <ns>] -- <cmd> [args…]'); process.exit(2) }
+  if (!cmd.length) { console.error('uso: dotrino-env run --vault <bóveda> [--ns <ns>] -- <cmd> [args…]'); process.exit(2) }
   const onPending = () => console.error('[dotrino-env] waiting for approval on your phone…')
-  const { injected, overridden } = await loadEnv({ ns: flag('ns'), onPending })
+  const { injected, overridden } = await loadEnv({ ns: flag('ns'), vault: etiquetaBoveda(), onPending })
   console.error('[dotrino-env] %d valor(es) en el entorno de %s%s', injected.length, cmd[0],
     overridden.length ? ` (pisados: ${overridden.join(', ')})` : '')
   const child = spawn(cmd[0], cmd.slice(1), { stdio: 'inherit', env: process.env })
@@ -175,7 +208,7 @@ async function cmdSshAgent () {
   const { serviceDir, resolveNs } = await import('../src/env.js')
   const { waitForSecrets } = await import('../src/service.js')
   const ns = resolveNs(flag('ns') || undefined)
-  const dir = flag('dir') || serviceDir(ns)
+  const dir = flag('dir') || serviceDir(etiquetaBoveda(), ns)
   const socketPath = flag('socket') || defaultSocketPath(dir)
   console.error('[dotrino-env] asking the vault for the keys of «%s»…', ns)
   const secrets = await waitForSecrets({ dir, ns, onPending: () => console.error('[dotrino-env] waiting for approval on your phone…') })

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@dotrino/vault",
-  "version": "0.45.1",
+  "version": "0.47.0",
   "description": "Usa ESTE dispositivo (navegador) como bóveda/CA del ecosistema Dotrino: atiende enrolamientos por el proxy y firma certificados de delegación a tus máquinas. Incluye el cliente de SERVICIO (Node): un proyecto se enrola una vez y jala sus credenciales del vault en vez del .env (`import '@dotrino/vault/config'`).",
   "type": "module",
   "main": "src/index.js",

package/src/admin.js

@@ -60,7 +60,20 @@ export const ADMIN_OPS = Object.freeze([
 ])
 
 /**
- * LO ÚNICO QUE SE ATIENDE CON EL CANDADO ECHADO: mirar. Ni una operación que cambie algo.
+ * QUÉ SE ATIENDE CON EL CANDADO ECHADO.
+ *
+ * No es «solo mirar», y confundirlo fue un error: **guardar una variable NO necesita la
+ * maestra**. Sellar un valor usa las llaves PÚBLICAS de quien va a leerlo, así que la
+ * bóveda puede hacerlo sin ningún secreto suyo (`docs/secretos-sellados.md` §8.1) — es
+ * justo lo que hace barata la rotación. Meterlo en el mismo saco que revocar dejaba la
+ * consola sin poder configurar nada con el perfil cerrado, que es su trabajo diario.
+ *
+ * Lo que SÍ se queda fuera es `revoke`: reescribe el acta, y sellar el acta es de la
+ * maestra. Cerrada no hay con qué.
+ *
+ * (Si el cajón tiene su llave sellada con la frase, repartirla a los miembros puede quedar
+ * a deber hasta que alguien abra: eso ya lo dice la bóveda y se salda solo. Guardar el
+ * valor, que es lo que se pidió, se hace igual.)
  *
  * El candado ES de la consola —los aparatos ya emparejados siguen leyendo, guardando y
  * firmando con SU llave— así que cerrar el perfil tiene que cerrar exactamente esto. No
@@ -72,7 +85,7 @@ export const ADMIN_OPS = Object.freeze([
  * Se dejan las de LEER a propósito: si se cortaran todas, la consola no podría ni
  * enterarse de por qué no funciona y parecería rota. Así puede decir «está cerrada».
  */
-export const ADMIN_OPS_WHILE_LOCKED = Object.freeze(['audit', 'vars'])
+export const ADMIN_OPS_WHILE_LOCKED = Object.freeze(['audit', 'vars', 'var.set', 'var.setMany'])
 
 /** Cuánto se recuerda un nonce ya usado (el doble de la ventana de frescura). */
 export const ADMIN_NONCE_TTL_MS = 10 * 60 * 1000
@@ -136,7 +149,7 @@ export function createAdminDesk ({
     }
     const by = await deviceIdOf(chk.device).catch(() => null)
 
-    // CERRADA NO SE ADMINISTRA. Va después de autorizar (el candado es estado del perfil,
+    // CERRADA NO SE SELLA EL ACTA. Va después de autorizar (el candado es estado del perfil,
     // y a un desconocido no se le cuenta) y ANTES de quemar el nonce: quien reintente
     // tras abrir la bóveda no tiene por qué generar otro.
     //

package/src/env.js

@@ -29,18 +29,63 @@ export function serviceRoot () {
   return process.env.DOTRINO_ENV_HOME || path.join(os.homedir(), '.dotrino', 'service')
 }
 
-/** Directorio de la identidad del servicio `ns` (`DOTRINO_ENV_DIR` lo pisa). */
-export function serviceDir (ns) {
+/**
+ * DE QUÉ BÓVEDA VINO ESTO: `~/.dotrino/service/<bóveda>/<ns>`.
+ *
+ * Es una ETIQUETA TUYA, de esta máquina: nadie la manda por la red, no entra en el acta y
+ * no se compara con nada — puedes llamarla como quieras. Sirve solo para que dos bóvedas
+ * puedan tener un cajón que se llame igual.
+ *
+ * Se llama `--vault` y no `--profile` a propósito (dueño): `dotrino-vault --profile` ya
+ * significa OTRA cosa —el perfil de la bóveda— y los dos comandos se usan seguidos. Dos
+ * banderas con el mismo nombre y distinto significado se confunden el día que hay prisa.
+ *
+ * Antes la ruta era `<raíz>/<ns>` y el nombre del cajón era una CLAVE GLOBAL del usuario:
+ * si dos bóvedas usaban `aws`, el segundo enrolamiento pisaba al primero y lo dejaba
+ * inservible —avisaba, pero el papel del primero seguía existiendo en su bóveda sin
+ * identidad en disco que lo usara—. Obligar a nombrar el perfil quita esa colisión de
+ * raíz en vez de pedirle al usuario que se acuerde de no repetir nombres.
+ *
+ * Mismo alfabeto que el `ns` porque es lo mismo: un segmento de ruta.
+ */
+export const isValidVaultLabel = (p) => typeof p === 'string' && /^[a-z0-9-]{1,32}$/.test(p)
+
+/** Directorio de la identidad del servicio `ns` bajo la etiqueta de bóveda `vault`. */
+export function serviceDir (vault, ns) {
   if (process.env.DOTRINO_ENV_DIR) return process.env.DOTRINO_ENV_DIR
+  if (!isValidVaultLabel(vault)) {
+    throw new Error('missing vault label: pass --vault <nombre> (use [a-z0-9-]{1,32}). It is a label of YOUR machine: it says which vault this drawer came from')
+  }
   if (!isValidSecretsNs(ns)) throw new Error('invalid ns (use [a-z0-9-]{1,32}, e.g. "myapp")')
-  return path.join(serviceRoot(), ns)
+  return path.join(serviceRoot(), vault, ns)
 }
 
-/** Namespaces ya enrolados en esta máquina. */
+/** La etiqueta de bóveda: `--vault`, o `DOTRINO_ENV_VAULT`. */
+export const resolveVaultLabel = (v) => v || process.env.DOTRINO_ENV_VAULT || null
+
+/**
+ * Lo enrolado en esta máquina: `[{ vault, ns }]`. Recorre DOS niveles.
+ *
+ * Y avisa de lo que quedó en el nivel de antes (`<raíz>/<ns>`): no se lee ni se usa —
+ * repescarlo en silencio sería fingir que la migración no hace falta— pero callarlo
+ * dejaría al dueño con un servicio que «desapareció» sin explicación.
+ */
 export function listEnrolled () {
-  let names = []
-  try { names = fs.readdirSync(serviceRoot()) } catch (_) { return [] }
-  return names.filter((ns) => isValidSecretsNs(ns) && readServiceIdentity(path.join(serviceRoot(), ns)))
+  const out = []
+  let dirs = []
+  try { dirs = fs.readdirSync(serviceRoot(), { withFileTypes: true }) } catch (_) { return out }
+  for (const d of dirs) {
+    if (!d.isDirectory() || !isValidVaultLabel(d.name)) continue
+    // Un enrolamiento del formato viejo es un directorio con `service-identity.json`
+    // DENTRO; uno del nuevo tiene subdirectorios. Así se distinguen sin adivinar.
+    if (readServiceIdentity(path.join(serviceRoot(), d.name))) { out.push({ legacy: true, ns: d.name }); continue }
+    let hijos = []
+    try { hijos = fs.readdirSync(path.join(serviceRoot(), d.name)) } catch (_) { continue }
+    for (const ns of hijos) {
+      if (isValidSecretsNs(ns) && readServiceIdentity(path.join(serviceRoot(), d.name, ns))) out.push({ vault: d.name, ns })
+    }
+  }
+  return out
 }
 
 /**
@@ -98,10 +143,12 @@ let lastApplied = null
  *   `overridden` = las que YA tenían otro valor en el entorno y el vault pisó. Es
  *   el dato que delata un `.env` rancio, así que se reporta en vez de callarse.
  */
-export async function loadEnv ({ ns, dir, override, wait = true, required = [], onRetry, onPending } = {}) {
+export async function loadEnv ({ ns, vault, dir, override, wait = true, required = [], onRetry, onPending } = {}) {
   if (override === undefined) override = overrideByDefault()
   ns = resolveNs(ns)
-  dir = dir || serviceDir(ns)
+  // La ETIQUETA DE BÓVEDA es obligatoria salvo que se diga el directorio a pelo: es lo que
+  // hace que dos bóvedas puedan tener un cajón con el mismo nombre sin pisarse.
+  dir = dir || serviceDir(resolveVaultLabel(vault), ns)
   const load = wait ? waitForSecrets : fetchSecrets
   const secrets = await load({ dir, ns, onRetry, onPending })
 
@@ -199,9 +246,9 @@ export function applyEnv (secrets, override = overrideByDefault()) {
  *   también. Se elige 0 porque salir a propósito no es un fallo.
  * @returns {Promise<{stop:()=>void}>}
  */
-export async function watchEnv ({ ns, dir, applied = lastApplied ?? undefined, onUpdate, exitCode = 0, quiet = false, ...rest } = {}) {
+export async function watchEnv ({ ns, vault, dir, applied = lastApplied ?? undefined, onUpdate, exitCode = 0, quiet = false, ...rest } = {}) {
   ns = resolveNs(ns)
-  dir = dir || serviceDir(ns)
+  dir = dir || serviceDir(resolveVaultLabel(vault), ns)
   const say = (m) => { if (!quiet) console.error(m) }
 
   const exitNow = (reason) => {