Workstation WSL Vault
偷走伺服器，偷不走機密。
開源、可自行架設的密鑰管理，建立在 AES-256-GCM 信封加密與每租戶金鑰階層之上，即使磁碟被竊、資料庫被傾印或主機遭入侵，攻擊者拿到的仍是無法開啟的密文。
偷走伺服器，偷不走機密。
開源、可自行架設的密鑰管理，建立在 AES-256-GCM 信封加密與每租戶金鑰階層之上，即使磁碟被竊、資料庫被傾印或主機遭入侵，攻擊者拿到的仍是無法開啟的密文。
WSLVault 是相容 Vault 的機密管理平台，適合希望在不將明文寫入磁碟的前提下實現靜態加密多租戶的營運人員。可透過鋼鐵與黃銅風格的網頁主控台、CLI、Go/Python/Rust/TypeScript SDK 或 MCP 操作，並以 Helm/GitOps 部署於 Kubernetes。
在 YouTube 上觀看: https://youtu.be/O6q3_H0k2M8
A 團隊無法解密 B 團隊的資料：這是密碼學層面的拒絕，而非應用程式的疏失。
DEK → 租戶 KEK → 根 KEK（KMS / HSM / Shamir）。機密在寫入磁碟前即已封存加密。
版本化 KV、傳輸加密、PKI、動態租約、身分政策與 MFA。
主動／主動式多區域複寫，以及具防竄改性的雜湊鏈稽核軌跡。
與 Vault 相容的 KV v2：版本化讀寫、check-and-set、軟刪除與銷毀，每個值在儲存前都會封存加密。
加密、解密、簽署與驗證，明文金鑰不會離開保管庫。輪替金鑰時，舊密文仍可讀取。
私有 CA、角色與短效憑證。CA 私鑰採信封加密，絕不以明文儲存。
憑證即租約：真正地核發、列出、更新與撤銷。撤銷後立即停止存取。
TOTP 雙因素驗證、復原碼、針對 API 金鑰與 JWT 的細緻政策，另有 SCIM、LDAP、OIDC、mTLS 與工作負載驗證。
資料庫傾印只會得到密文，其金鑰被包覆在資料庫從不接觸的金鑰之下。偷走磁碟 ≠ 偷走機密。
隨 Helm chart 與 Kubernetes operator 一併部署，以 GitOps 驅動，用 Prometheus 擷取指標，並可從您慣用的程式語言存取 WSLVault，或透過內建的 MCP 伺服器由 AI 代理存取。
閱讀入門指南複製儲存庫、安裝 Helm chart，並解封。Workstation 協助營運人員以與 WSL Proxy 及 Ring Promoter 相同的邊緣與推進紀律運行 WSLVault。
前往 wslvault.org聯絡 Workstation