用途：在 CI/CD 流水线中实现安全的密钥管理，避免将 API 密钥、数据库密码、TLS 证书等敏感信息硬编码。适用于存储凭据、管理数据库密码、处理证书、自动轮换密钥以及实施最小权限访问。
主要能力：覆盖 HashiCorp Vault（集中管理、动态密钥、轮换、审计日志、细粒度访问控制）、AWS Secrets Manager（自动轮换、RDS 集成、CloudFormation 支持）、Azure Key Vault（HSM 支持密钥、证书管理、RBAC）和 Google Secret Manager（版本控制、IAM 集成）。
使用方式：Vault 可本地启动并启用 KV v2 引擎，如 vault server -dev、vault secrets enable -path=secret kv-v2、vault kv put secret/database/config username=admin password=secret；在 GitHub Actions 中可用 hashicorp/vault-action@v2 导入密钥，在 GitLab CI 中可用 vault kv get 读取。AWS 侧可用 aws secretsmanager create-secret 创建、get-secret-value 读取，并在 GitHub Actions 中配合 aws-actions/configure-aws-credentials@v4 使用。平台原生方案包括 GitHub Secrets（组织/仓库/环境级）与 GitLab CI/CD 变量（受保护、掩码、文件类型）。还涉及 External Secrets Operator 的 Kubernetes 集成、Terraform 数据源引用，以及用 TruffleHog 做提交前与 CI 密钥扫描。
最佳实践与限制：不要提交密钥到 Git，按环境区分密钥，定期轮换，最小权限，启用审计日志，日志中掩码，静态加密，尽量使用短期令牌。轮换可自动化（如 AWS Lambda）或手动执行。资料未提供具体收费、价格与平台支持范围等细节。