用途：管理 TrueFoundry 的密钥组（secret groups）与单个密钥（key-value）。密钥组用于组织密钥，单个密钥保存键值对。适用场景包括部署前的密钥准备、值轮换，以及列出、创建、更新、删除密钥组或密钥。
主要能力与用法：可通过工具调用或直接 API 操作。工具调用包括 tfy_secrets_list()、tfy_secret_groups_create()、tfy_secret_groups_update()、tfy_secrets_list_versions()、tfy_secret_groups_delete()、tfy_secrets_delete()；创建、更新、删除需人工审批（HITL）。直接 API 使用本技能脚本 scripts/tfy-api.sh，先设置 TFY_API_SH 指向该脚本完整路径，然后执行如 $TFY_API_SH GET /api/svc/v1/secret-groups、GET /api/svc/v1/secret-groups/GROUP_ID、POST /api/svc/v1/secrets、GET/PUT/DELETE 相关端点。创建密钥组前需通过 GET '/api/svc/v1/provider-accounts?type=secret-store' 查找密钥存储集成 ID，并按云厂商匹配（AWS secrets-manager/parameter-store、Azure vault、GCP secret-manager）。更新时，值被修改的密钥会生成新版本；未包含在数组中的密钥会被删除，且至少需保留一个密钥。部署中可用 tfy-secret://<TENANT_NAME>:<SECRET_GROUP_NAME>:<SECRET_KEY> 引用密钥，例如 env 中 DB_PASSWORD: tfy-secret://my-org:my-app-secrets:DB_PASSWORD，随后用 tfy apply -f manifest.yaml 部署。
安全策略与限制：代理不得接受、存储、记录、回显或显示原始密钥值；应让用户先将密钥值设为环境变量再引用。若用户直接提供原始值，应警告并拒绝使用。展示密钥时仅显示“(set)”或前 4 个字符加 ***。版本历史只显示变更时间，不显示实际值。需注意错误处理：密钥组不存在、权限不足、名称已存在、至少一个密钥必填、无密钥存储、缺少 key/value 字段；Azure Key Vault 键名不支持下划线，且软删除状态下无法通过 TrueFoundry API 清除。
其他事实暂未提供。