1Password CLI ベータ

1Password CLI Betaは、opコマンドラインツールのプレリリースチャネルです。ターミナルやスクリプトから、権限に基づいて1Passwordにアクセスできるため、開発者や管理者はシークレットの取得、アイテムや保管庫の操作を行い、再利用可能な認証情報をソースコードに直接埋め込まずに済みます。このパッケージがインストールするのはCLIであり、1Passwordデスクトップアプリやセルフホスト型のパスワードサーバーではありません。

開発者向けワークフロー

ドキュメントに記載されたコマンドを使って、保管庫の一覧表示や内容の確認、許可されたアイテムの読み取りや管理、対応するアカウントワークフローの自動化を行えます。シークレット参照を使えば、設定内に平文のシークレットを複製する代わりに、保存済みのフィールドを参照できます。op runは対応する参照を解決して子プロセスの環境に渡し、ほかのコマンドはスクリプト向けの構造化出力に対応します。利用できるコマンドは、アカウント、保管庫へのアクセス権、認証方法によって制限されます。

1Password Environmentsや開発者向け連携には、それぞれ固有の要件があります。CLIはデスクトップアプリと連携し、対応するMacでのTouch IDなどのシステム認証を利用できます。提供元は、共有環境やヘッドレス環境での自動化には、個別に権限範囲を設定したサービスアカウントを推奨しています。アカウントトークンは、それを使って取得できるシークレットと同じように慎重に保護する必要があります。

インストールとmacOSの要件

公式のスタートガイドでは、macOS Big Sur 11以降、1Passwordのサブスクリプション、およびデスクトップ連携用の1Password for Macが必要とされています。対応するMacのシェルはBash、Zsh、sh、fishです。公式CLIリリース履歴から必要なベータ版をダウンロードし、プロセッサーに合ったZIPを選び、PATH上にopをインストールしてください。提供元はUniversal PKGも提供しています。このカタログで確認したダウンロードは、Apple silicon向けのarm64 ZIPで、サイズは14,041,079バイトです（バージョン2.42.0-beta.01）。Intel Mac向けには、別途amd64 ZIPが用意されています。

このカタログのチャネルでは、一般的なドキュメントに記載された安定版チャネル用のコマンドではなく、brew install --cask 1password-cli@betaを使ってください。このcaskは、同じコマンドを提供する1password-cliおよび1password-cli@1と競合します。別途必要なHomebrew formulaへの依存は宣言されていません。バイナリを保護されたシステムディレクトリに移動したり、PKGを実行したりする際には、管理者の承認が必要になる場合があります。通常の保管庫コマンドに、一律でフルディスクアクセスやアクセシビリティの権限が必要というわけではありません。

認証、費用、ネットワーク

このダウンロードは、1Passwordの商用サービスのエコシステムに含まれます。ドキュメントに記載されたアカウントワークフローには、1Passwordのサブスクリプションと適切な利用権限が必要です。CLIをダウンロードしても、無料のパスワード管理アカウントや開発者向けサービスへの無制限のアクセスは提供されません。最新のサブスクリプション規約と開発者向け規約を確認してください。関連するSDKやシェルプラグインのリポジトリが公開されているだけで、このバイナリ自体が制限のないオープンソースプログラムと確認されたことにはなりません。

デスクトップ連携を使うには、1Passwordアプリのロックを解除し、「設定 > 開発者」で「1Password CLIとの連携」を有効にしてください。ほかの認証方法では、該当するアカウントまたはサービスアカウントの認証情報を使用します。アカウントとの通信、シークレットの取得、更新にはネットワークアクセスが必要ですが、対応するキャッシュ機能によって個々のコマンドの動作が変わる場合があります。完全にオフラインで自動化できるとは保証しないでください。

ベータ版とシークレットの取り扱いに関する注意

これはベータ版チャネルです。安定版のリリース前に、変更や不具合によってスクリプトが影響を受ける可能性があります。重要度の低いワークフローでアップグレードをテストし、再現性が重要な場合は確認済みのバージョンに固定して、サポート対象のビルドに戻す手段を確保してください。新しいCLIバージョンを試すだけのために、本番環境の認証情報を置き換えたり、シークレットをローテーションしたりしないでください。

プロセス環境に注入されたシークレットは、そのプロセス、ログ、デバッグツール、後続のコマンドによって露出する可能性があります。提供元は、op runによる標準出力と標準エラー出力のマスキングはベストエフォートであり、秘匿を保証しないと明言しています。認証情報の出力、シークレットを含む出力の公開ファイルへの保存、トークンや生成された平文設定のコミットは避けてください。サービスアカウントの権限範囲を制限し、保管庫データの読み取りを許可する前にスクリプトを確認してください。

出典：公式CLI概要、スタートガイド、公式リリース履歴、スクリプト内のシークレット参照。