feat(fnox): age identityをmacOSキーチェーンで管理する

[k35o]

概要

fnox 1.26.0 で導入された provider-backed identity 機能を使い、age 秘密鍵を平文ファイル ~/.config/fnox/age.txt から macOS キーチェーンへ移行する。

動機

これまで age 秘密鍵は平文ファイルとしてディスク上に存在していた。鍵をキーチェーン1項目に集約することで、ディスク上の平文鍵を排除しつつ、秘密本体は引き続き age 暗号化（git 管理可能）のまま運用できる。

詳細

• dot_config/fnox/config.toml
  • keychain プロバイダ（service=fnox）を追加
  • age プロバイダに identity = { provider = "keychain", value = "age-key" } を設定（鍵をキーチェーンの age-key 項目から取得）
• dot_config/mise/config.toml
  • identity 機能に必要な fnox を 1.25.1 → 1.26.0 に更新
• .chezmoiignore
  • age.txt がキーチェーン管理になった旨へコメントを更新（防御的に ignore 自体は維持）

気をつけるポイント

• recipients（公開鍵）は不変なので、既存の暗号化値（NODE_AUTH_TOKEN 等）の再暗号化は不要。
• キーチェーンはマシンごと。各マシンで鍵投入が必要:
  security add-generic-password -U -s fnox -a age-key -w "<AGE-SECRET-KEY...>"
• 各マシンで fnox の初回アクセス時にキーチェーン許可ダイアログが出る → 「常に許可」。
• fnox 1.26.0 は exact ピン指定。minimum_release_age = 7d は latest/fuzzy 解決のみゲートするため exact ピンには影響しない。

影響範囲

• fnox によるローカルシークレット復号（fnox get / fnox exec / exec 専用 MCP）。
• 他マシンへ chezmoi apply する際は、事前に各マシンのキーチェーンへ鍵投入が必要。

テスト

• 作業マシンで age.txt を退避した状態で fnox get NODE_AUTH_TOKEN / fnox exec が成功することを確認（verbose ログで keychain 経由であることを確認）。確認後に age.txt を削除。