用 Infisical Agent…

当需要在不修改应用代码的前提下，把 Infisical 中的密钥通过 Go 模板渲染到主机或容器内的文件，并自动完成认证与令牌续期时使用。

适用场景

解决思路

1. 先确认部署环境，再依次确定：认证方式、配置文件（YAML 结构含 auth、sinks、templates）、模板写法、部署方式（Docker、K8s、ECS 等）。
2. 按平台选择认证方式：AWS 用 aws-iam，Kubernetes 用 kubernetes，Azure 用 azure，GCP 用 gcp-id-token 或 gcp-iam；只有在没有平台原生认证时才回退到 universal-auth（client ID/secret）。
3. 优先用 templates 而非 sinks 来渲染密钥：sinks 只写入访问令牌，templates 才渲染真正的密钥，多数用户需要的是 templates。
4. 渲染 .env 文件时使用 listSecrets 或 listSecretsByProjectSlug，把某个环境下的所有密钥渲染成 key=value 文件。
5. 数据库凭据使用 dynamicSecret 模板函数，它会在模板中直接创建并自动续期动态密钥租约。
6. SSH 动态密钥必须传第 6 个 principals 参数：dynamicSecret 接受一个可选的、以逗号分隔的 principals 字符串，对 SSH 动态密钥是必填的（如 "root,deploy"）；SSH 租约会返回 PRIVATE_KEY 和 SIGNED_KEY。
7. 调整轮询间隔：默认 5 分钟；对延迟敏感的应用调小，配置稳定的场景调大以减少 API 调用。
8. 在 Kubernetes init container 或一次性场景中设置 exit-after-auth: true，让 agent 渲染一次密钥后即退出。
9. 用 execute.command 配置 on-change 命令，在密钥变化时触发应用重启或配置重载。
10. 配置重试策略与持久化缓存（persistent caching）以保证稳定性。
11. 确保目标文件路径权限正确且不被暴露，绝不要记录密钥值。
12. 需要完整配置字段、认证方式、sinks、缓存时读 references/agent-config.md；写模板时读 references/template-functions.md；需要各平台示例配置时读 references/deployment-examples.md。

适用边界 · 注意事项

• 需要由控制器管理 Kubernetes Secrets 或 ConfigMaps 时，应使用 infisical-kubernetes-operator（operator 管理集群级 K8s API 对象，agent 只在应用旁写文件）。
• 需要用 infisical run 包裹进程、在应用代码里调用 SDK、配置 agent 所认证的 machine identity，或把密钥推送到第三方服务时，应改用 infisical-setup 或 infisical-secret-syncs。
• 应用从 Secret 读取环境变量时应使用 operator；只有当应用读取配置文件时才用 agent。