用途：在 CI/CD 流水线中实现安全的密钥管理，避免将 API 密钥、数据库密码、TLS 证书等敏感信息硬编码。适用于存储凭据、管理数据库密码、处理证书、自动轮换密钥以及实施最小权限访问。
主要能力：覆盖 HashiCorp Vault（集中管理、动态密钥、轮换、审计日志、细粒度访问控制）、AWS Secrets Manager（自动轮换、RDS 集成、CloudFormation 支持）、Azure Key Vault（HSM 支持密钥、证书管理、RBAC）和 Google Secret Manager（版本控制、IAM 集成）。同时提供 GitHub Secrets（组织/仓库/环境级）与 GitLab CI/CD 变量（受保护、掩码、文件类型）的原生用法。
使用方式：Vault 可通过 vault server -dev 启动开发服务器，设置 VAULT_ADDR 与 VAULT_TOKEN，启用 kv-v2 引擎并写入密钥；GitHub Actions 使用 hashicorp/vault-action@v2 导入密钥，GitLab CI 用 vault kv get 读取。AWS 侧用 aws secretsmanager create-secret 创建、get-secret-value 读取，并可在 Terraform 中通过 data 源引用。还介绍 External Secrets Operator 将 Vault 密钥同步到 Kubernetes，以及用 TruffleHog 做提交前与 CI 密钥扫描。
最佳实践与限制：不要将密钥提交到 Git，按环境区分密钥，定期轮换，实施最小权限，启用审计日志，在日志中掩码密钥，静态加密，尽量使用短期令牌。资料未提供具体收费、价格或平台限制信息。