用途：在 Terraform 中安全管理密码、API 密钥、数据库凭据、加密密钥等敏感数据，避免密钥出现在 .tf 文件、Git 历史或 state 文件中。
主要能力：使用 Google Secret Manager 存储与读取密钥；通过 IAM 绑定授予最小权限；用 data 源读取指定或 latest 版本；将密钥以环境变量或 Kubernetes Secret 形式传给应用；标记 sensitive 输出与变量；安全轮换密钥版本；提供审计日志查询方式。
使用方式：先用 gcloud secrets create 创建密钥，例如 echo -n "MySecretPassword123" | gcloud secrets create db-password --data-file=-；再用 gcloud secrets add-iam-policy-binding 授予 roles/secretmanager.secretAccessor；在 Terraform 中用 data "google_secret_manager_secret_version" 读取 secret_data，并在资源中引用；输出与变量加 sensitive = true。轮换时用 gcloud secrets versions add 新增版本，再 terraform plan/apply 并重启相关应用。
适用场景：Cloud SQL 凭据、GKE/Cloud Run 环境变量、Kubernetes Secret、JWT 密钥、API 令牌等。
限制与要求：需 Terraform 1.x+、Google Cloud provider v5.26+、启用 Secret Manager API，并具备相应 IAM 权限；资料主要面向 GCP，其他云平台未提供。密钥轮换周期等建议仅为资料中的示例，非强制标准。