feat: let administrators view and copy encrypted integration credentials

deploy/docker-compose.yml

@@ -93,6 +93,7 @@ services:
       ORBIT_RETENTION_INBOX_DAYS: ${ORBIT_RETENTION_INBOX_DAYS:-90}
       ORBIT_RETENTION_AUDIT_DAYS: ${ORBIT_RETENTION_AUDIT_DAYS:-2555}
       ORBIT_CONSOLE_APPLICATION_ADMIN: ${ORBIT_CONSOLE_APPLICATION_ADMIN:-}
+      ORBIT_CREDENTIAL_KEY_FILE: ${ORBIT_CREDENTIAL_KEY_FILE:-}
       ORBIT_CONSOLE_QUEUE_ID: ${ORBIT_CONSOLE_QUEUE_ID:-}
       ORBIT_METRICS_ADDR: ${ORBIT_METRICS_ADDR:-}
     ports:

deploy/local/README.md

@@ -38,7 +38,7 @@
 
 ## 为其他应用分配独立配置
 
-登录后打开侧栏「应用接入」，新建应用并选择能力，成功后复制/下载该应用的 `.env`。详情可以随时查看队列、权限和有效期。页面平滑换证默认保留旧 Token 7 天，过渡期内新旧 Token 均按各自有效期核验，原任务和订阅保持不变；全部服务切换并收尾后才可提前结束过渡。完整 Token 仅在生成时显示，未保存时可点「Token 在哪里查看？」；过渡期不能再次换证，点击「查看原因」可打开说明。
+登录后打开侧栏「应用接入」，新建应用并选择能力，成功后复制/下载该应用的 `.env`。详情可以随时查看队列、权限和有效期。页面平滑换证默认保留旧 Token 7 天，过渡期内新旧 Token 均按各自有效期核验，原任务和订阅保持不变；全部服务切换并收尾后才可提前结束过渡。管理员可以随时「查看接入信息」「复制接入配置」或下载 orbit.env，过渡期也可以获取当前新 Token。旧凭据仅有摘要时先导入已保存的当前 Token，保留现有有效期和业务身份。
 
 `host.env` / `docker.env` 是初始 local-testing 应用的联调身份；独立应用应使用页面分配的自己的配置。应用接入管理只授权 `admin`，无需创建多角色。[详细操作和恢复手册](../../docs/api/console-applications.md)。
 
@@ -138,3 +138,9 @@ Worker 返回三条 `SUCCEEDED`；计划示例实际执行后暂停；流程示
 新建 SDK 凭据默认长期有效（省略 `expires_at`）；旧环境保留原策略，可在应用接入页「调整有效期」且不改变 Token。启动输出读取数据库当前有效期。凭据拥有此测试命名空间的任务、Worker、调度、订阅、流程及恢复权限；这是联调身份，正式环境按角色收窄。凭据到期/撤销后不会自动重新初始化或重置历史，按[轮换手册](../../docs/api/authentication.md)处理。
 
 管理员密码、数据库密码、SDK Token 均保存在 `.local/compose-test` 下的私密文件；目录权限 0700、文件权限 0600，Git 和 Docker 构建上下文都排除这些文件。需要其他服务读取时分发 `host.env` / `docker.env`，不要给业务服务数据库管理员配置。
+
+### Token 保管密钥
+
+`up` 自动生成 `.local/compose-test/credential-keys.json`（0600），重复部署复用它。初始化容器将文件放入 `orbit-keys` 卷，供 Orbit 的 65532 用户只读访问；bootstrap/凭据管理 CLI 使用同一源文件。已经启用后发现文件丢失会停止部署，要求恢复原文件，不能生成替代密钥。
+
+备份数据库时单独备份该文件，不提交 Git；不要删除 `orbit-keys` 卷。密钥环、生产多节点部署、旧凭据导入和主密钥变更见[应用接入接口文档](../../docs/api/console-applications.md#8-部署-token-保管)。本地升级会保留原管理员和所有应用身份，历史 Token 需要经管理员导入补齐。

deploy/local/compose.yml

@@ -1,5 +1,14 @@
 # 叠加 deploy/docker-compose.yml；使用 scripts/orbit-local.py 固定项目和私密配置。
 services:
+  credential-key-init:
+    image: mysql:8.4
+    restart: "no"
+    user: "0:0"
+    entrypoint: ["/bin/sh", "-ec"]
+    command: ["cp /source/credential-keys.json /keys/credential-keys.json.tmp && chown 65532:65532 /keys /keys/credential-keys.json.tmp && chmod 700 /keys && chmod 600 /keys/credential-keys.json.tmp && mv /keys/credential-keys.json.tmp /keys/credential-keys.json"]
+    volumes:
+      - ${ORBIT_LOCAL_DIRECTORY}/credential-keys.json:/source/credential-keys.json:ro
+      - orbit-keys:/keys
   archive-init:
     image: mysql:8.4
     restart: "no"
@@ -17,6 +26,7 @@ services:
     command: ["verify"]
     environment:
       ORBIT_MYSQL_DSN: "root:${ORBIT_DB_ROOT_PASSWORD}@tcp(mysql:3306)/${ORBIT_DB_NAME}?parseTime=true&multiStatements=true"
+      ORBIT_CREDENTIAL_KEY_FILE: /run/local/credential-keys.json
     volumes:
       - ${ORBIT_LOCAL_DIRECTORY}:/run/local
 
@@ -29,16 +39,20 @@ services:
         REVISION: ${ORBIT_BUILD_REVISION}
         BUILD_TIME: ${ORBIT_BUILD_TIME}
     depends_on:
+      credential-key-init:
+        condition: service_completed_successfully
       archive-init:
         condition: service_completed_successfully
     environment:
       ORBIT_CONSOLE_APPLICATION_ADMIN: admin
+      ORBIT_CREDENTIAL_KEY_FILE: /run/orbit-keys/credential-keys.json
       ORBIT_ARCHIVE_ROOT: /var/lib/orbit/archives
       ORBIT_ARCHIVE_STORAGE_ID: ${ORBIT_ARCHIVE_STORAGE_ID}
       ORBIT_ARCHIVE_MAX_BYTES: 1073741824
       ORBIT_ARCHIVE_TICK_INTERVAL: 10s
     volumes:
       - orbit-archives:/var/lib/orbit/archives
+      - orbit-keys:/run/orbit-keys:ro
     networks:
       default:
       services:
@@ -56,4 +70,5 @@ networks:
         - subnet: ${ORBIT_TEST_SERVICES_SUBNET:-10.253.241.0/24}
 
 volumes:
+  orbit-keys:
   orbit-archives: