用途：AWS Secrets Manager 用于保护应用、服务和 IT 资源的访问，集中存储、检索并自动轮换数据库凭据、API 密钥、OAuth 令牌等机密数据。
主要能力：机密以加密形式存储，支持键值对（最大 64 KB）；每个机密可有多个版本，使用 AWSCURRENT、AWSPENDING、AWSPREVIOUS 等阶段标签；通过 Lambda 函数实现自动轮换，内置支持 Amazon RDS、Amazon Redshift、Amazon DocumentDB 及自定义机密。
使用方式：可用 AWS CLI 或 boto3 创建、读取、更新机密。例如创建：aws secretsmanager create-secret --name prod/myapp/database --secret-string '{...}'；读取用 get_secret_value；更新用 update-secret 或 put-secret-value；启用 RDS 轮换用 rotate-secret 并指定 rotation-lambda-arn 与 AutomaticallyAfterDays。也可用 CloudFormation 模板创建带轮换的机密，或在 Lambda 中通过 AWS Parameters and Secrets Lambda Extension（本地端口 2773）获取。
适用场景：需要集中管理生产环境数据库凭据、API 密钥等敏感信息，并希望自动轮换、审计访问、按环境隔离的应用。
限制与注意事项：资料未提供具体收费与价格信息；需正确配置 IAM 与资源策略、KMS 密钥策略，否则会出现 AccessDeniedException；轮换失败常见原因包括 Lambda 超时、VPC 网络配置、数据库连接问题或机密格式错误；建议缓存机密以减少 API 调用，切勿记录机密内容。