共享密码以明文形式散落在 Excel 和聊天工具中。 CREDENTIAL SPRAWL — SOLVED BY M365 TRUST
共享密码、MFA 密钥以明文形式残留在 Excel 或聊天记录中，无法追溯何人在何时访问过。 CredManager 通过只有以 M365 认证登录的人才能按访问分区解密的机制，从根本上解决这一问题。
共享账号和 MFA 密钥未经加密即流通，无法追踪何人在何时查看过。
只有特定负责人知道的密码和 MFA 设备信息，会因离职、更换设备而丢失。
个人用途与共享用途的边界模糊，存在无意中保存到共享文件夹的情况。
依赖云端的工具在故障时将无法访问，缺乏业务连续性保障。
现场运维所需的功能，一应俱全，不多不少。 FEATURES BUILT FOR DAILY OPS
从认证、共享、个人分区、MFA 管理、桌面标准 UI 到业务连续性，v0.1.0（正式版）已一致完备。
只需使用 Microsoft 365 / Entra ID 登录即可启动。连接目标（SharePoint、Key Vault）自动解析，使用者无需事先配置。
使用与访问分区对应的密钥加密，通过 SharePoint 共享给具有权限的成员。没有权限的分区会从列表中排除，也无法解密。
个人凭据不同步到 SharePoint，而是通过 DPAPI 加密保存在设备本地。结构上防止误共享，并支持通过带保护密码短语的加密本地备份（世代管理）在其他 PC 上恢复。
中央列表可在卡片、紧凑、列表（可按列排序）3 种显示模式间切换。所选模式会在下次启动时保留。
具备右键操作菜单（详情、编辑、收藏、移动分区、删除）、菜单栏（文件/编辑/查看/工具/帮助）、状态栏（连接状态、条目数、筛选）以及处理完成的非模态通知。同时支持搜索、按组筛选和收藏。
管理认证器应用/TOTP/短信/语音/邮件/硬件令牌/密钥·生物识别/备用代码/其他共 9 种类型。TOTP 支持 6 位实时生成、剩余秒数倒计时、二维码显示。OTP 密钥同样加密保存。
通过备份文件+密码短语，在不与云端通信的情况下以只读方式恢复。可保障灾害、云服务故障时的业务连续性。
将创建、编辑、移动、删除、恢复、查看、认证等操作记录到结构化审计日志中（附带关联 ID，密钥等敏感信息会被遮蔽后不输出）。确保后续可追溯的粒度。
将浏览器中输入的凭据导入 CredManager 的扩展集成（Chrome 扩展 → 原生消息通信 → 本体）。目前处于公司内部 PoC 阶段，尚未正式提供。确定后将反映到本节及下载区。
界面预览。 UI PREVIEW (DUMMY DATA)
通过 FlaUI 自动截取的主要界面。全部为演示数据版本，不包含真实数据或真实凭据（连接目标为 example.test，密码以掩码显示）。
从团队共享到个人保管，再到业务连续性。 SCENARIOS FOR EVERY TEAM
从公司内各部门、团队的负责人到信息系统管理员，全面覆盖日常的凭据运维工作。
只有拥有权限的成员才能解密使用。何人在何时访问过会记录在审计日志中。
个人分区不同步到 SharePoint，而是通过 DPAPI 加密保存在设备本地。结构上无法被误共享。
事先制作带密码短语的加密本地备份，在其他 PC 上恢复。由于 DPAPI 与设备绑定，只能通过备份方式迁移。
在离线恢复模式下，可通过备份+密码短语在不与云端通信的情况下进行只读查看。可作为业务连续性计划（BCP）的一环使用。
运行环境。 SYSTEM REQUIREMENTS
无需额外运行时。无需管理员权限即可安装。
桌面应用（单一 exe·SelfContained / SingleFile）。无需 .NET 运行时（已内置）。
install.bat 会安装到用户区域（%LOCALAPPDATA%\Programs\CredManager）。SETUP-GUIDE.md。规格。 TECHNICAL SPECIFICATIONS
| 版本 | 0.1.0（FileVersion 0.1.0.0） |
|---|---|
| 加密方式（共享分区） | 信封加密（本体 AES-256/数据密钥使用各分区专属的 Azure Key Vault 密钥包裹）。随机数使用 CSPRNG。 |
| 加密方式（个人分区） | 使用 DPAPI（CurrentUser）进行本地保护。 |
| 加密方式（备份） | Argon2id 密钥派生 → AES-256-GCM（带认证）。 |
| 访问分区 | 3 级分区以颜色区分的标签显示。根据所属组判定是否可解密（无权限的分区从列表中排除）。 |
| MFA | 9 种类型管理。TOTP 实时生成（6 位·剩余秒数倒计时·二维码显示）。OTP 密钥同样加密。 |
| 显示模式 | 卡片 / 紧凑 / 列表（可按列排序）3 种模式。所选模式在下次启动时保留。 |
| 业务连续性 | 完全离线只读恢复、本地备份世代管理、结构化审计日志。 |
| 随附文件（7 个） | CredManager.exe / install.bat / helpTexts.json / setup-access-tiers.ps1 / setup-sharepoint.ps1 / SETUP-GUIDE.md / README.txt |
全部在 Microsoft 365 / Azure 内完成。 MICROSOFT CLOUD — FULLY IN YOUR TENANT
全部在 Microsoft 365 / Azure 内完成，不使用 AWS 等外部云服务。
系统架构。 SYSTEM ARCHITECTURE
由客户端与 Microsoft 云组成的两层架构。
┌─────────────────────────────────────────────────────────┐
│ Windows 桌面应用 (CredManager.exe) │
│ ·使用 M365 / Entra ID 登录（Entra 认证） │
│ ·3 种显示模式 UI·右键菜单·TOTP 实时生成 │
└──────────────┬───────────────────────────────┬──────────┘
│ 共享分区 │ 个人分区
▼ ▼
┌──────────────────────────┐ ┌──────────────────────────┐
│ SharePoint 列表 │ │ 设备本地 (DPAPI) │
│ (密文 + 已包裹密钥) │ │ ·不与云端同步 │
└──────────┬───────────────┘ │ ·加密备份 │
│ │ (Argon2id→AES-256-GCM) │
▼ └──────────────────────────┘
┌──────────────────────────┐
│ Azure Key Vault │
│ (按分区 KEK·RBAC 模式) │
└──────────────────────────┘
“不留明文”“按分区隔离”“全部留存”。 SECURITY & COMPLIANCE POSTURE
从设计到运维，始终贯彻组织将凭据作为信息资产正确处理的原则。
共享分区采用 AES-256/Key Vault 密钥包裹的信封加密。个人分区采用 DPAPI(CurrentUser)。可携带备份采用 Argon2id → AES-256-GCM（带认证）。随机数使用 CSPRNG。明文密码不会保存在任何地方。
每个访问分区使用不同的 KEK，根据所属组判定是否可解密。没有权限的分区不会显示在 UI 上，也无法解密。即使直接打开 SharePoint 也无法取出密码。
将创建、编辑、移动、删除、恢复、查看、认证等各项操作记录到结构化审计日志中。附加关联 ID，敏感信息经遮蔽处理后不予输出。确保后续可追溯的粒度。
应用本身不具备独立认证机制，而是使用组织的 Microsoft 365（Entra ID）登录。MFA、条件访问、离职时的即时禁用均通过组织现有机制运作。
已建立紧急情况下的恢复流程（break-glass），并依据 RUNBOOK 在实机上完成动作确认。
依据 ISO/IEC 27001:2022 的管控措施实施自我评估（自查），并持续改进。
※ 这是自我评估，并非正式的认证符合性判定（SoA 反映及审查为 ISMS 事务局的最终事项）。
下载。 FREE — v0.1.0 RELEASE BUILD
目前公开的是正式版 v0.1.0（build 5fb8dd5）。运行环境为 Windows 10 / 11（x64）。使用需要 Microsoft 365 / Entra ID 账户。
随附单一 exe、install.bat、helpTexts.json、setup-access-tiers.ps1、setup-sharepoint.ps1、SETUP-GUIDE.md、README.txt 共 7 个文件。
解压 ZIP 后运行 install.bat，即可安装到 %LOCALAPPDATA%\Programs\CredManager（无需管理员权限·幂等）。无需 .NET 运行时。
- 文件名
- CredManager-v0.1.0-5fb8dd5.zip
- 大小
- 70,399,331 字节（约 67.1 MiB）
- SHA-256
- 403E06BC875B7A2DD85803436541163A0A6163131ACD3779132F0C82BAA3F329
由于代码签名尚未完成，首次启动时可能会显示“Windows 已保护你的电脑”。
规避步骤: 请点击“更多信息”→“仍要运行”。或右键点击 ZIP 文件 →“属性”→ 勾选“解除锁定”后再解压。详情请参阅同附的
README.txt。
完整性校验: 下载后，请在 PowerShell 中执行 Get-FileHash .\CredManager-v0.1.0-5fb8dd5.zip -Algorithm SHA256，并确认与上述 SHA-256 一致。
安装步骤: 解压 ZIP → 运行 install.bat（安装到 %LOCALAPPDATA%\Programs\CredManager·创建快捷方式·无需管理员权限·幂等）。也可以直接从解压后的文件夹启动 CredManager.exe。
管理员侧的首次准备: 需要配置 SharePoint Online 站点·Azure Key Vault（RBAC）·用于访问分区的 Entra 组（详情请参阅同附的 SETUP-GUIDE.md）。
公司内部使用·免费: 目前处于公司内部使用阶段，免费提供。付费推广时将另行通知。
管理员的初始设置只需一次。使用者只需登录即可。 SETUP FOR ADMINS — THEN JUST SIGN IN
仅首次需要由管理员完成组织侧的准备工作。此后，使用者只需启动 exe 并通过 Microsoft 365 登录即可。
在 Entra ID 中注册应用，为登录许可及对 SharePoint 的委派访问许可授予管理员同意。详情请参阅同附的 SETUP-GUIDE.md。
创建 Azure Key Vault（RBAC 模式），按访问分区数量签发密钥，并为对应的 Entra 组分配各密钥的使用权限。可使用随附的 setup-access-tiers.ps1 辅助配置。
准备用于 CredManager 的私有 SharePoint 站点，并使用随附的 setup-sharepoint.ps1 创建用于加密保存的列表结构。
启动 CredManager.exe，使用 Microsoft 365 账户登录。连接目标会自动解析，使用者无需额外设置。
指南与文档。 DOCUMENTATION
详细的操作手册请参阅 ZIP 随附文档。
面向信息系统管理员的详细设置步骤。涵盖 Azure / SharePoint 的配置步骤及故障排查。
随附: SETUP-GUIDE.md汇总了安装步骤、SmartScreen 警告的规避方法、个人分区注意事项等使用者应参阅的信息。
随附: README.txt请参阅 ZIP 随附文档。
常见问题。 FREQUENTLY ASKED QUESTIONS
安装是否需要管理员权限?
install.bat 会安装到用户区域（%LOCALAPPDATA%\Programs\CredManager）。无需管理员权限即可安装。启动时显示“Windows 已保护你的电脑”。
README.txt。个人分区的数据可以在其他 PC 上使用吗?
云端不可用时还能查看凭据吗?
需要设置连接目标吗?
更新日志·路线图。 CHANGELOG & ROADMAP
build 5fb8dd5
正式版
- 共享分区（Key Vault 信封加密）+访问分区控制（3 级·颜色标签）、MFA 9 种类型管理（TOTP 实时生成）、3 栏 UI。
- 个人分区（仅本地·DPAPI·防止误共享）+加密本地备份（Argon2id → AES-256-GCM·世代管理）/其他 PC 恢复。
- 离线恢复模式（完全离线只读）、break-glass 备份。
- 3 种显示模式（卡片/紧凑/列表·列排序）/右键菜单/菜单栏·状态栏·非模态通知等桌面标准 UI。
- 结构化审计日志+关联 ID、依赖锁定+CI（构建/测试/漏洞扫描）+分支保护、ISO/IEC 27001:2022 自我评估、运维 RUNBOOK·高频路径自动 E2E·交付物 UI 自动截图。
- 数据本体的带认证加密（AES-GCM）化
- 代码签名（永久解决 SmartScreen 警告）
- 浏览器集成（Chrome 扩展 → 原生消息通信）的正式提供
支持与联系方式。 SUPPORT & CONTACT
有关公司内部使用的咨询、配置支持，请联系信息系统部门。请一并参阅设置指南（随附 SETUP-GUIDE.md）。
SETUP-GUIDE.md — 面向管理员的详细设置·故障排查
README.txt — 面向使用者的概要·SmartScreen 规避步骤·个人分区注意事项