用途：在 GCP 环境中集中存储和管理机密，如 API Key、数据库凭据、TLS 证书；通过 Workload Identity 供 GKE 工作负载使用；实施版本化、轮换与合规要求。
主要能力：创建和管理密钥及其版本，支持自动或用户指定区域复制、CMEK 加密、过期时间与 TTL、标签与版本别名；配置 IAM 绑定（如 roles/secretmanager.admin、secretAccessor），支持条件表达式按资源名限制访问；为 GKE 配置 Workload Identity，并通过 Secrets Store CSI Driver 把密钥以文件或 K8s Secret 形式挂载到 Pod；提供 Python、Go、Node.js 的 SDK 读取示例；支持用 Cloud Functions 与 Cloud Scheduler 做轮换；提供 Terraform 资源示例与常见故障排查。
使用方式：先启用 API：gcloud services enable secretmanager.googleapis.com。创建密钥资源后添加版本，例如 echo -n "..." | gcloud secrets versions add db-password --data-file=-；用 gcloud secrets versions access latest --secret=db-password 读取。GKE 侧需启用 Workload Identity，绑定 Kubernetes SA 与 GCP SA，并配置 SecretProviderClass。
限制：需要启用计费的 GCP 项目、已认证的 gcloud CLI 及相应 IAM 权限；GKE 集成要求集群已配置 Workload Identity；CMEK 需为 Secret Manager 服务账号授予 KMS 权限；密钥访问可能因无客户端缓存而产生延迟；部分具体价格、配额与平台细节暂未提供。