Secret-Referenzen

server:
  master_key: ${file:/run/secrets/gomodel-master-key}

providers:
  openai:
    type: openai
    api_key: ${env:OPENAI_KEY}

OPENAI_API_KEY='${file:/run/secrets/openai}'
POSTGRES_URL='${file:/run/secrets/postgres-url}'

​

Syntax

providers:
  openai:
    type: openai
    api_key: ${env:OPENAI_KEY}
    proxy_url: http://gomodel:${file:/run/secrets/proxy-pass}@proxy:3128

mcp:
  servers:
    github:
      url: https://mcp.example.com/mcp
      headers:
        Authorization: Bearer ${env:GITHUB_TOKEN}

​

Schemas

​

Fehler brechen den Start ab

failed to resolve secret references: providers.openai.api_key: secret reference ${file:...}: open /run/secrets/openai: no such file or directory

​

Rotation

• tauscht Provider-API-Keys im laufenden Betrieb aus, wenn sich nur diese geändert haben. Laufende Requests werden mit dem Key abgeschlossen, mit dem sie begonnen haben. Sessions, die an einen entfernten Key gebunden sind, wechseln zu einem anderen; die meisten anderen Sessions behalten ihren Key.
• lädt die Konfiguration neu, wie bei SIGHUP, wenn sich irgendetwas anderes in der config.yaml oder der Umgebung geändert hat (eine DSN, der Master-Key, eine Proxy-URL, ein Service-Account-JSON). Ein fehlgeschlagener Reload behält die laufende Konfiguration bei und wird bei der nächsten Änderung erneut versucht. Im Dashboard gespeicherte Referenzen lösen nie einen Reload der Konfiguration aus; siehe Im Dashboard verwaltete Zugangsdaten.
• behält jeden aktuellen Wert bei, wenn eine Referenz nicht erneut aufgelöst werden kann, und protokolliert eine Warnung, die die Einstellung nennt.

rotated provider API keys in place providers=[openai] fields=[providers.openai.api_keys[1]]

​

Im Dashboard verwaltete Zugangsdaten

• Die Referenz wird so gespeichert, wie sie eingegeben wurde; GoModel löst sie auf, wenn es den Provider, die MCP-Verbindung oder die Guardrail aufbaut.
• Eine Referenz ist kein Secret; daher zeigen das Dashboard und die Admin API einen Wert, der nur aus Referenzen besteht, unmaskiert an. Ein MCP-Header darf zusätzlich mit einem Auth-Schema beginnen (Bearer ${env:TOKEN}), und eine Proxy-URL wird angezeigt, wenn ihr Passwort eine Referenz ist. Literale Secrets und Werte, die literalen Text mit einer Referenz mischen, bleiben maskiert, und das Zurücksenden der Maske behält den gespeicherten Wert bei.
• Eine Referenz, die nicht aufgelöst werden kann, wird beim Speichern mit einem 400 abgelehnt, der das Feld und das Schema nennt.
• Nur der Master-Key kann eine Referenz hinzufügen oder ändern. Eine Referenz wird auf dem Gateway-Host aufgelöst und kann daher jede Umgebungsvariable und jede Datei lesen, die das Gateway lesen kann, einschließlich des Master-Keys. Alle anderen Zugangsdaten, etwa ein verwalteter Key mit Dashboard-Zugriff, erhalten einen 403 (secret_reference_requires_master_key), der das Feld nennt. Sie können weiterhin literale Secrets speichern, die Maske zurücksenden und eine Entität erneut speichern, deren Referenzen unverändert sind. Ohne Master-Key speichern Dashboard-Zugangsdaten Referenzen wie bisher.
• Aus demselben Grund kann nur der Master-Key ändern, wohin eine Entität, die eine Referenz enthält, diese sendet: die url eines MCP-Servers, type, base_url, backend oder proxy_url eines Providers oder den Typ bzw. die Service-URL einer Guardrail (etwa analyzer_url von Presidio). Andere Zugangsdaten erhalten denselben 403 mit dem Feldnamen und können alle anderen Felder weiterhin bearbeiten.
• Jeder Resolver-Aufruf trägt für Audit-Zwecke einen Feldpfad, etwa provider_credentials.openai.api_keys[0], mcp_servers.github.headers.Authorization oder guardrail_definitions.pii.config.api_key.
• Wenn ein referenzierter Wert rotiert wird, wird nur die betroffene Entität neu eingerichtet: Die Keys eines Providers werden im laufenden Betrieb ausgetauscht, jede andere Provider-Änderung baut diesen Provider neu auf, ein MCP-Server wird neu verbunden und eine Guardrail neu aufgebaut. Kann die Referenz nicht aufgelöst werden, behält die Entität ihren aktuellen Wert.

​

Literales ${

​

Einschränkungen

• env- und file-Referenzen werden aufgelöst, wenn die Konfiguration geladen oder neu geladen wird; siehe Rotation.
• Sie gelten für String-Einstellungen. Eine boolesche oder numerische Einstellung kann keine Referenz sein, und eine Umgebungsvariable, die GoModel als Zahl, booleschen Wert, Dauer oder Liste parst (LOGGING_ENABLED, HTTP_TIMEOUT, ENABLED_PASSTHROUGH_PROVIDERS, …), bricht den Start ab, wenn sie eine Referenz enthält. JSON-Variablen akzeptieren Referenzen innerhalb ihrer String-Werte.
• Provider-Umgebungsvariablen sind die Ausnahme: OPENAI_MODELS, OPENAI_MODEL_FILTER_* und OPENAI_SESSION_STICKY_KEYS werden vor dem Parsen aufgelöst.
• Bei im Dashboard verwalteten Entitäten akzeptieren nur die unter Im Dashboard verwaltete Zugangsdaten aufgeführten Felder Referenzen.