Gestore di segreti Secrets manager
Servizio centrale per archiviare, distribuire e ruotare i segreti, al posto delle password scritte nei file di configurazione. HashiCorp Vault è lo standard open source; tra le soluzioni cloud-native: AWS Secrets Manager, GCP Secret Manager, Azure Key Vault.
Oltre all'archiviazione chiave-valore offre segreti dinamici (credenziali DB generate a ogni richiesta e revocate automaticamente), lease con TTL e rinnovo automatico, audit log per ogni accesso, cifratura transit (cifratura come servizio, senza esporre le chiavi al client) e un motore PKI che emette X.509 su richiesta. Integrazione: l'External Secrets Operator di Kubernetes sincronizza da Vault o dal secrets manager verso i secret K8s. Sealed Secrets (Bitnami) è un altro schema, adatto a git grazie alla cifratura asimmetrica; SOPS copre i segreti in file versionati.