Busabaseホスト実行向けにSecrets、Variables、スコープ別上書き、監査可能なアクセスを保存します。

Vault & Secrets

Busabase Cloud Vault は、認証情報、トークン、アカウントID、モデル設定、Webhook secret、またはBusabaseホスト実行がハードコードせずruntime contextから読むべき設定を保存します。

Busabase Cloud Vault Secrets

SecretsとVariables

Secrets はAPIキー、署名secret、OAuth token、パスワード、プライベート認証情報などの機密値に使います。SecretはUIでマスクされ、Reveal accessを持つユーザーが明示的にrevealした場合だけ平文を表示できます。

Variables はprovider名、モデル名、既定リージョン、アカウント別名、feature flagなど、機密ではないランタイム設定に使います。

名前は大文字、数字、アンダースコアで指定します。例: EMAIL_API_KEY、EMAIL_PROVIDER、MODEL_PROVIDER。

現在のBusabase Cloud UIでは3つのVaultスコープを設定できます。

User defaults はアカウントに属する既定値です。Busabaseがあなたの代わりにコードを実行するときのベースラインになります。

Space overrides はworkspaceに属します。そのSpace内では同名のユーザー既定値を上書きします。

Busabase Cloud Vault Space overrides

API key overrides は1つのAPIキーに属します。そのキーで認証されたリクエストでは、同名のUser/Space値を上書きします。

ランタイムの優先順位は次の通りです。

API key overrides > Space overrides > User defaults

たとえば EMAIL_PROVIDER=resend をユーザー既定値にし、あるSpaceに MODEL_PROVIDER=openai を設定し、2つのAPIキーに異なる EMAIL_API_KEY を設定すると、同じメールスキルで別々の送信アカウントを使えます。

VaultデータモデルにはBase、Agent、Toolスコープも将来の細粒度上書き用に予約されています。現在のCloud UIではUser、Space、API keyを提供しています。

上書きは任意です。現在のスコープに同名の値がない場合、Busabaseは次の下位スコープへフォールバックします。

各Vault項目には4つの明示的な能力があります。

Runtime はBusabaseホスト実行が値を使用できるようにします。

Reveal は認可されたユーザーがUIでsecret値をrevealできるようにします。

Edit は認可されたユーザーが項目を更新または削除できるようにします。

Share は今後の共有・委任フロー用に予約されています。

BusabaseはVaultの作成、更新、削除、reveal、runtime readを監査します。これにより、誰が値を作成したか、誰がランタイムで使用したか、誰がsecretをrevealしたかを追跡できます。

Busabase Cloud はsessionまたはAPIキー認証後、サーバー側でVault runtime valuesを解決します。SDK、REST、MCPクライアントが公開Vault endpointを呼ぶことはなく、secret値を直接受け取ることもありません。

import { getContextVaultRuntimeValue } from "busabase-core/context";

const emailApiKey = getContextVaultRuntimeValue("EMAIL_API_KEY");

Session認証のリクエストはUser defaultsとアクティブなSpace overridesを受け取ります。APIキー認証のリクエストはUser defaults、Space overrides、該当するAPI key overridesを受け取ります。

オープンソース版 apps/busabase はsingle-player Vaultです。ログインシステムがないため、local user scopeとlocal Space scopeは固定です。

公開 GET /api/v1/vault secret endpoint はありません。Vault値はAccount Settingsで管理され、Busabase Cloudのサーバー側ランタイム内でのみ消費されます。

旧ランタイム設定ストレージは移行互換のためだけに残し、Vault移行完了を確認してから旧テーブルのdropを検討します。新しいドキュメント、UI、runtime context、API contract は Vault & Secrets を使用します。