Termius 共享凭证与 Snippets 库 | 团队级运维脚本和密码管理

团队里的凭证管理问题

每个团队都有一堆运维密码和常用命令脚本。传统管理方式：

• 密码散在每个人的密码管理器里
• 命令脚本写在团队 wiki 或某人的个人 shell profile 里
• 新人来了要挨个请教「生产 MySQL 密码是什么」「上次那个批量重启脚本在哪」

Termius 把这些统一收到共享 Vaults 里。

共享 Snippets 库

Snippets 跟着 Vaults 走。 运维在 Team Vault 里创建一个 Snippet，所有团队成员登录后自动看到并能执行。

推荐的 Snippets 分类

新人入职

1. 加入 Team Vault
2. 打开 Snippets 界面，就能看到整套团队运维脚本库
3. 直接点或用 AI 补全调用，不需要知道脚本内容
4. 有疑问直接问创建者（Snippet 有创建者信息）

Snippets 审核与维护

• 谁可以创建：给 Full Access 权限的团队成员
• 谁可以修改：原创建者或 Full Access 成员都可以修改
• 建议：团队约定每个 Snippet 包的维护负责人，定期 review
• 建议：破坏性操作的 Snippet（重启、删库）加 warning 注释和二次确认

共享凭证

Termius 里可以独立于主机配置单独管理 Credentials（凭证条目），存：

• 密码类凭证（服务器密码、数据库密码）
• 密钥类凭证（SSH 密钥对）
• API Token

Credentials 的用途

• 主机认证的凭证引用：主机配置里不直接存密码 / 密钥，而是引用某个 Credential 条目
• 团队共享：把 Credential 存到共享 Vault，团队里所有人的主机配置引用同一个 Credential

为什么不直接把密码写在主机配置里

凭证的安全

• Credentials 跟着 Vault 一起端到端加密
• 加密密码从本地派生，Termius 服务器看不到明文
• Business / Enterprise 版可以启用审计日志（谁查看了凭证、什么时候）
• 只读权限的 Vault 成员可以使用 Credential（连接主机），但不能查看明文密码

团队 Credentials 的管理规范

谁来维护

建议指定一个「凭证管理员」角色：

• 负责创建和更新 Team Vault 里的 Credentials
• 定期（比如每季度）轮换生产环境密码 / API Token
• 密码规则定期 review（复杂度、长度、有效期）

命名规范

Credentials 条目的命名要清晰：

生产环境 MySQL 只读密码
Staging 环境 root 密码
CI/CD Token（Jenkins）
API Key（微信支付）

这样大家在找的时候一眼就能对上用途。

不要做的事

• ❌ 不要把所有密码都存 Team Vault——Personal Vault 存个人密码，Team Vault 存团队共用的
• ❌ 不要用「通用密码」作为命名（password1、main）——模糊不清
• ❌ 不要让只读权限的成员看到敏感凭证——Business 版可以更细粒度控制

与密码管理器的关系

Termius Credentials 和 1Password / Bitwarden 不冲突：

• Termius Credentials 存的是 SSH / 终端场景的凭证——绑定到 Vaults，主机配置直接引用，用的时候自动调用
• 密码管理器存的是广义的密码（邮箱、Git、各种 Web 服务）

实际上两者配合最好：密码管理器存 Termius 的加密密码（记得要存），Termius 内部用 Credentials 存团队共用的 SSH / DB 凭证。

总结：团队 Vault 的价值全景

一个配置完善的 Team Vault 对新入职的工程师意味着：

1. ✅ 自动看到所有公司服务器的主机列表（按 Group 组织好）
2. ✅ 一键连接（密钥已部署、Jump Host 链配好、Vaults 自动同步）
3. ✅ 直接用整套团队 Snippets 库（不用手动敲运维命令）
4. ✅ 共享凭证引用（不用问任何人密码）
5. ✅ 权限隔离（看不到不该看的生产数据）

这就是 Termius 「一人配置、全员受益」的团队协作模式。