🔐 技術調査 - 1Password CLI

op://<vault>/<item>/[section/]<field>

export DB_PASSWORD="op://app-dev/db/password"
op run -- node app.js

brew install 1password-cli
op --version

curl -sS https://downloads.1password.com/linux/keys/1password.asc \
  | sudo gpg --dearmor --output /usr/share/keyrings/1password-archive-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/1password-archive-keyring.gpg] \
  https://downloads.1password.com/linux/debian $(lsb_release -cs) main" \
  | sudo tee /etc/apt/sources.list.d/1password.list
sudo apt update && sudo apt install 1password-cli

sudo rpm --import https://downloads.1password.com/linux/keys/1password.asc
sudo yum install 1password-cli

winget install 1Password.1PasswordCLI

op service-account create "ci-bot" \
  --vaults "app-prod:read_items,write_items"

export OP_SERVICE_ACCOUNT_TOKEN="ops_eyJz..."
op vault list

op signin
# アカウント URL、メールアドレス、Secret Key を入力してサインイン

op://<vault>/<item>/<field>
op://<vault>/<item>/<section>/<field>  # セクションを含む場合

op://app-prod/db/password
op://prod/mysql/username
op://app-dev/api/credentials/token

# 標準出力へ出力
op read "op://app-prod/db/password"

# ファイルへ書き出し
op read "op://app-prod/tls/cert" --out-file ./cert.pem

# JSON 形式で出力
op read "op://app-prod/db/password" --format json

# 環境変数にシークレット参照をセット
export DB_USER="op://app-dev/db/user"
export DB_PASSWORD="op://app-dev/db/password"

# op run 経由でアプリを起動
op run -- node app.js

# 単一コマンドでまとめて指定
op run --env-file=.env -- python server.py

database:
  host: http://localhost
  port: 5432
  username: {{ op://prod/mysql/username }}
  password: {{ op://prod/mysql/password }}

# 標準入力から処理
echo "db_password: {{ op://app-prod/db/password }}" | op inject

# ファイル指定
op inject --in-file config.yml.tpl --out-file config.yml

# 環境変数で参照先を切り替え
echo "db_password: op://$env/db/password" | env=prod op inject

# 基本的な Login アイテムの作成
op item create \
  --category Login \
  --title "My App DB" \
  --vault "app-prod" \
  --url "https://db.example.com" \
  --generate-password \
  username=admin@example.com

# テンプレートから作成（機密値の直接指定を避ける場合）
op item template get Login > login_template.json
# login_template.json を編集後
op item create --template login_template.json

# アイテム全体を取得
op item get "My App DB"

# 特定フィールドのみ取得
op item get "My App DB" --fields label=username,label=password

# JSON 形式で出力
op item get "My App DB" --format json

# Vault を指定して取得
op item get "My App DB" --vault "app-prod"

# フィールドの値を変更
op item edit "My App DB" username="newuser@example.com"

# パスワードを再生成
op item edit "My App DB" --generate-password

# タグを追加
op item edit "My App DB" --tags "production,database"

# アーカイブ（30 日間は復元可能）
op item delete "Old API Key" --archive

# 完全削除
op item delete "Old API Key"

# Vault 内のアイテム一覧
op item list --vault "app-prod"

# カテゴリと JSON 形式を組み合わせ
op item list --category Login --format json

# タグでフィルタ
op item list --tags "production"

# Vault 一覧
op vault list

# Vault の作成
op vault create "new-project"

# Vault の詳細確認
op vault get "app-prod"

# Vault の削除
op vault delete "old-project"

# jq と組み合わせてフィールドを抽出
op item get "My App DB" --format json | jq '.fields[] | select(.label=="password") | .value'

# Vault 一覧を JSON で取得
op vault list --format json

# 利用可能なプラグイン一覧を確認
op plugin list

# プラグインを初期化（例: GitHub CLI）
op plugin init gh

# プラグインを経由してコマンドを実行
op plugin run -- gh repo list

# Shell プロファイルへ登録（永続化）
# ~/.zshrc または ~/.bashrc に追加
source ~/.config/op/plugins.sh

# リポジトリをクローンしてスキャフォールドを生成
git clone https://github.com/1Password/shell-plugins
cd shell-plugins
make new-plugin

# plugin.go にプラットフォーム情報を定義
# credentials/ に認証情報スキーマとプロビジョナーを定義
# executables/ に実行ファイルと認証情報のマッピングを定義

# バリデーションとビルドを実行
make validate
make build

Host *
    IdentityAgent "~/Library/Group Containers/2BUA8C4S2C.com.1password/t/agent.sock"

Host *
    IdentityAgent ~/.1password/agent.sock

Host *
    IdentityAgent \\.\pipe\openssh-ssh-agent

[[ssh-keys]]
item = "github ssh key - work"
vault = "Work"

[[ssh-keys]]
vault = "Private"

ssh-add -l

# サービスアカウントトークンを環境変数にセット
export OP_SERVICE_ACCOUNT_TOKEN="ops_eyJh..."

# 設定確認
op vault list

# サービスアカウント一覧
op service-account list

# レートリミット確認
op service-account ratelimit

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - name: Configure 1Password
        uses: 1password/load-secrets-action/configure@v2
        with:
          service-account-token: ${{ secrets.OP_SERVICE_ACCOUNT_TOKEN }}

      - name: Load secrets
        uses: 1password/load-secrets-action@v2
        env:
          APP_SECRET_KEY: op://prod-vault/app-config/secret_key
          DB_PASSWORD: op://prod-vault/database/password

      - name: Deploy
        run: ./deploy.sh

version: 2.1
orbs:
  onepassword: 1password/secrets@1.0.0

jobs:
  build:
    executor: onepassword/default
    steps:
      - onepassword/install-cli
      - onepassword/exec:
          command: ./run-tests.sh

#!/bin/bash
# OP_SERVICE_ACCOUNT_TOKEN は事前にセット済みとする

# シークレット参照で環境変数を注入してコマンド実行
op run --env-file=.env.op -- node server.js

# 特定フィールドを直接読み込む
DB_PASSWORD=$(op read "op://prod-vault/database/password")

# Events Reporting 統合を作成後、SIEM と連携
# API エンドポイント: https://events.1password.com/api/v1/

# 現在のバージョン確認
op --version

# 最新バージョンの確認とダウンロード
op update

# macOS (Homebrew)
brew upgrade 1password-cli

# Linux (APT)
sudo apt update && sudo apt upgrade 1password-cli

# CLI 1（旧）
create item

# CLI 2（新）
op item create --category Login

# チームメンバーのアカウントリカバリ
op user recover <user-uuid>

# 推奨: テンプレートファイルを使用
op item create --template ./item-template.json

# 非推奨: コマンドライン上にシークレットを直接記述
op item create --category Login --title "My App" \
  --field "password=mysecretpassword"

# シークレット参照ファイルを使用して実行
op run --env-file=.env.tpl -- ./app

DB_PASSWORD=op://prod-vault/database/password
API_KEY=op://prod-vault/api-service/api_key

# サービスアカウント作成時にボルトとロールを指定
op service-account create "prod-deployer" \
  --expires-in 90d \
  --vault "prod-secrets:read_items"

1Password ボルト構成例:
├── prod-vault         ← 本番環境（サービスアカウント: sa-prod）
├── staging-vault      ← ステージング（サービスアカウント: sa-staging）
└── dev-vault          ← 開発環境（サービスアカウント: sa-dev）

op read "op://prod-vault/app-config/secret_key"
op read "op://staging-vault/app-config/secret_key"

# サービスアカウントの使用状況確認
op service-account list

# 特定サービスアカウントの詳細確認
op service-account get <account-id>

# 1Password Connect 変数のクリア（サービスアカウントを使用する場合）
unset OP_CONNECT_HOST
unset OP_CONNECT_TOKEN
export OP_SERVICE_ACCOUNT_TOKEN="ops_eyJh..."

# セッション失効の確認
op whoami

# 再サインイン
eval $(op signin)

# 設定確認
echo $OP_SERVICE_ACCOUNT_TOKEN

# 1Password Connect 変数が優先されていないか確認
echo $OP_CONNECT_HOST
echo $OP_CONNECT_TOKEN
# 値が設定されている場合はクリア
unset OP_CONNECT_HOST
unset OP_CONNECT_TOKEN

# 接続テスト
op account list --debug 2>&1 | head -50

# プロキシ設定の確認
echo $HTTPS_PROXY
echo $HTTP_PROXY

# 使用可能なボルト一覧（アクセス可能なボルトのみ表示）
op vault list

# アイテムへのアクセステスト
op item get "item-name" --vault "vault-name" --debug

# --debug フラグでデバッグ出力を有効化（stderr に出力）
op vault list --debug

# デバッグ出力をファイルに保存
op vault list --debug 2> debug.log

# 詳細なリクエスト情報を確認
op item get "my-item" --vault "my-vault" --debug 2>&1

# バージョン確認
op --version

# アカウント設定の確認
cat ~/.config/op/config

# プラグインが非インタラクティブシェルで動作しない場合
# op plugin run でラップして実行
op plugin run -- doctl compute droplet list

# プラグイン設定の確認
op plugin list

# レートリミット状況の確認
op service-account ratelimit

# ID 指定でリクエスト数を最適化（3リクエスト → 1リクエスト）
# 名前指定（非推奨）
op item get "my-item" --vault "my-vault"

# ID 指定（推奨）
op item get <item-id> --vault <vault-id>