用途：面向应用与基础设施，提供 API 密钥、数据库凭据、加密密钥与 TLS 证书的安全存储、轮换和下发方案。适用场景包括实现手动或自动轮换、将外部密钥同步到 Kubernetes、设置动态密钥、扫描代码中泄露的密钥、实现零知识模式及满足 SOC 2、ISO 27001、PCI DSS 等合规要求。
主要能力：覆盖 HashiCorp Vault 核心概念（KV v2 静态密钥、Database/AWS/PKI/SSH 密钥引擎、Kubernetes/JWT/OIDC/AppRole/LDAP 认证、HCL 策略、TTL 租约与自动续期撤销）；提供静态与动态密钥的选型框架；给出 Kubernetes 密钥交付方式对比（External Secrets Operator、Secrets Store CSI Driver、Vault Secrets Operator），说明轮换与是否需重启的差异。
使用方式：Vault 常用命令如 vault kv put secret/myapp/config api_key=sk_live_EXAMPLE 创建静态密钥，vault read database/creds/app-role 生成动态凭据，vault operator init -key-shares=5 -key-threshold=3 初始化 Shamir 分片。Kubernetes 侧提供 SecretStore/ExternalSecret 与 VaultDynamicSecret 的 YAML 示例，客户端库含 Python hvac、Go vault/api、TypeScript node-vault、Rust vaultrs。密钥扫描可用 brew install gitleaks、gitleaks protect --staged --verbose 及 Gitleaks GitHub Action。
限制与注意：文档强调不要将密钥提交到 Git，谨慎使用环境变量（进程列表可见），Base64 不是加密，避免生产环境使用 root token；推荐最小权限、审计日志、短 TTL 与定期轮换。具体定价、平台支持与效果资料未提供。