AWS Secrets Manager
AWS提供的托管机密管理服务，支持API密钥、数据库凭证、OAuth令牌等机密的安全存储、自动轮换及细粒度访问控制
核心事实
时间轴 (近 90 天)
AgentCore Gateway 将后端密钥存放在 AWS Secrets Manager，由网关在内部路径注入并在响应返回前剥离，使模型上下文永远不包含密钥。
专用秘密保险库（如HashiCorp Vault、AWS Secrets Manager等）提供动态凭证签发、短期租约、策略引擎和完整审计流，代理每次请求由保险库按策略临时发放或代理使用，事后再回收。
Client ID 和 Client Secret 这类敏感凭据应通过 AWS Secrets Manager 安全存储，而不是硬编码在代码中
MCP 的凭证管理机制将密钥存储于服务器环境变量或密钥管理服务（如 AWS Secrets Manager）中
针对游离于SCIM之外的凭证类型，业界通常需要引入机密管理工具（如 HashiCorp Vault、AWS Secrets Manager）或工作负载身份方案（如 SPIFFE/SPIRE）来补充治理
建议将 .env 等机密文件放在项目目录之外，或通过 HashiCorp Vault、AWS Secrets Manager 等密钥管理服务统一管理
n8n原生不支持直接从HashiCorp Vault或AWS Secrets Manager读取凭证，但可通过自定义节点或启动脚本在工作流执行时动态拉取密钥
全部知识事实 (9)
专业密钥管理服务如 HashiCorp Vault、AWS Secrets Manager 可实现动态短效凭证下发
70%待验证业界通行的敏感信息隔离做法包括使用环境变量隔离（.env文件配合.gitignore）以及密钥管理服务（如AWS Secrets Manager、HashiCorp Vault）
90%待验证AgentCore Gateway 将后端密钥存放在 AWS Secrets Manager，由网关在内部路径注入并在响应返回前剥离，使模型上下文永远不包含密钥。
50%待验证专用秘密保险库（如HashiCorp Vault、AWS Secrets Manager等）提供动态凭证签发、短期租约、策略引擎和完整审计流，代理每次请求由保险库按策略临时发放或代理使用，事后再回收。
50%待验证Client ID 和 Client Secret 这类敏感凭据应通过 AWS Secrets Manager 安全存储，而不是硬编码在代码中
50%待验证MCP 的凭证管理机制将密钥存储于服务器环境变量或密钥管理服务（如 AWS Secrets Manager）中
50%待验证针对游离于SCIM之外的凭证类型，业界通常需要引入机密管理工具（如 HashiCorp Vault、AWS Secrets Manager）或工作负载身份方案（如 SPIFFE/SPIRE）来补充治理
50%待验证建议将 .env 等机密文件放在项目目录之外，或通过 HashiCorp Vault、AWS Secrets Manager 等密钥管理服务统一管理
50%待验证n8n原生不支持直接从HashiCorp Vault或AWS Secrets Manager读取凭证，但可通过自定义节点或启动脚本在工作流执行时动态拉取密钥
50%