https://ama-tech.hatenablog.com/rails-credentials-command

Railsのcredentialsコマンドを使用すると、アプリケーションの認証情報（APIキー、データベースのパスワードなど）を安全に管理できます。

認証情報は暗号化され、config/credentials.yml.encに保存されるため、環境変数を多用せずに機密情報を扱えます。

credentialsコマンドには以下の3つのコマンドが用意されています。

また、-e <environment>オプションを指定することで、環境ごと（例：production, development, test）に異なる認証情報を管理できます。

credentialsコマンドの詳細はbin/rails credentials:helpで確認できます。

本記事では、これらのコマンドの使い方について解説します。

1. bin/rails credentials:edit

EDITOR="code --wait" bin/rails credentials:edit

$VISUALまたは$EDITORに指定したエディターでconfig/credentials.yml.encを編集する
config/credentials.yml.encが存在しない場合は、config/credentials.yml.encとconfig/master.keyを作成する
EDITOR="code --wait"でエディターにVS Codeを指定
- --wait引数を渡すと編集中のファイルを閉じるまでbin/rails credentials:editが待機する
  - Command Line Interface (CLI) - Visual Studio Code documentation
  - Using Git source control in VS Code - Visual Studio Code documentation

以下のように環境変数を定義しておけば、EDITOR="code --wait"を指定せずに実行できるようになります。

echo 'export EDITOR="code --wait"' >> ~/.zshrc

-eオプションで環境ごとにcredentialsを管理できます。

# production環境の場合
bin/rails credentials:edit -e production

config/credentials/#{environment}.yml.encとconfig/credentials/#{environment}.keyが作成される
.gitignoreに/config/credentials/#{environment}.keyが追加される

bin/rails credentials:show

復号化されたconfig/credentials.yml.encの内容が表示される
- bin/rails credentials:diff config/credentials.yml.encと同じ
-e <environment>で環境ごとに指定可能

bin/rails credentials:diff config/credentials.yml.enc

bin/rails credentials:diff --enroll

--enrollオプションにより.gitattributesに以下が追記されます。

# .gitattributes
config/credentials/*.yml.enc diff=rails_credentials
config/credentials.yml.enc diff=rails_credentials

これにより全てのcredentialsファイルに対してrails_credentials diff driver(=bin/rails credentials:diff)が適用されます。

bin/rails credentials:editコマンド実行時にdiff driverが設定されているかを確認し、設定がない場合は.git/configに以下が追記されます。

# .git/config
[diff "rails_credentials"]
    textconv = bin/rails credentials:diff

これらの設定を無効にするには--disenrollオプションを指定します。

# git diff実行時に暗号化された内容が表示されるようになる
bin/rails credentials:diff --disenroll

【参考】