需要按需生成短期数据库/云凭证时，用 Infisical…

当用户想要为数据库、云 IAM、SSH、Kubernetes 等按请求生成一次性、短期、自动过期的全新凭证时，指导其完成 Infisical Dynamic Secrets 的配置。

适用场景

解决思路

1. 先明确用户需要为哪种资源生成动态凭证，然后按以下流程引导：1) 前置条件——确认需要预先存在的数据库用户、IAM 角色或服务账号；2) 选择提供商——挑选正确的动态密钥类型；3) 配置——设置主机、端口、凭证、TTL、创建语句；4) 租约管理——如何生成、续期和撤销租约；5) 网关设置——如果访问私有资源（VPN/VPC 后的数据库）则需要配置。
2. 阅读与用户提供商对应的参考文件：references/overview.md（动态密钥工作原理、概念、租约生命周期、可用提供商）；references/sql-databases.md（PostgreSQL、MySQL、MSSQL、Cassandra、Oracle、SAP ASE/HANA、Snowflake、Vertica、ClickHouse、Azure SQL）；references/nosql-and-cache.md（Redis、AWS ElastiCache、AWS MemoryDB、MongoDB、MongoDB Atlas、Elasticsearch、Couchbase、RabbitMQ、Milvus）；references/cloud-iam.md（AWS IAM 用户/凭证、GCP 服务账号令牌、Azure Entra ID 凭证）；references/ssh-and-kubernetes.md（SSH 证书、Kubernetes 服务账号令牌、LDAP、GitHub 令牌、Tailscale 密钥、IBM API Connect、TOTP）。
3. 推荐尽可能短的实用 TTL。动态密钥本质是临时的——分钟到小时级别，而不是天。
4. 如果数据库位于 VPC/私有子网中，需要在同一网络内部署 Infisical Gateway。这是企业版功能。
5. 用户必须拥有一个数据库管理员用户（或 IAM 角色），供 Infisical 用来创建/撤销动态凭证。Infisical 不会替用户创建这个管理员用户。
6. 对于 SQL 数据库，默认创建语句会授予宽泛权限。建议自定义这些语句以遵循最小权限原则（限定特定表、只读等）。
7. 注意有些令牌无法撤销：GCP 服务账号令牌和 Kubernetes 令牌是带有内置过期时间的 JWT——在 Infisical 中撤销租约只会删除记录，但令牌在 TTL 到期前仍然有效。要强调使用短 TTL。
8. SSH 证书无法续期：TTL 在签名时就已经固定。用户必须创建新租约才能获得新证书。
9. 注意 AWS STS 的时长限制：AssumeRole 最长 1 小时；Access Key/IRSA 最长 12 小时。如果超出，Infisical 会自动调整。

适用边界 · 注意事项

• 不要用于按计划轮换已有凭证——那是 infisical-secret-rotation 的职责。
• 不要用于让人类或 AI 代理在不接触凭证的情况下访问数据库并录制会话——那是 infisical-pam 的职责。
• 不要用于 X.509/TLS 证书——那是 infisical-pki 的职责（注意 SSH 证书属于本技能，TLS 证书不属于）。