用途：管理 TrueFoundry 平台的密钥组（secret groups）与单个密钥（secrets）。密钥组用于组织密钥，单个密钥保存键值对。适用于部署前配置密钥、轮换密钥值，以及列出、创建、更新、删除密钥组和单个密钥。
主要能力：通过工具调用（如 tfy_secrets_list、tfy_secret_groups_create、tfy_secret_groups_update、tfy_secret_groups_delete、tfy_secrets_delete）或直接 API（如 $TFY_API_SH GET /api/svc/v1/secret-groups）操作。创建密钥组前需通过 /api/svc/v1/provider-accounts?type=secret-store 找到对应云厂商的 secret-store 集成 ID。在部署清单中可用 tfy-secret://<TENANT_NAME>:<SECRET_GROUP_NAME>:<SECRET_KEY> 格式引用密钥，然后执行 tfy apply -f manifest.yaml。
安全策略：代理不得接受、存储、记录、回显或显示原始密钥值；须让用户先设为环境变量再引用；显示时仅用“(set)”或前 4 字符加“***”；创建/更新/删除需人工批准（HITL）。
限制与错误：更新时省略的密钥会被删除，且至少需一个密钥；需有相应 API 权限；工作区需已配置 secret store；Azure Key Vault 密钥名不支持下划线且存在软删除保留问题，可改用连字符或换用其他集成。具体命令与错误提示以官方资料为准。