能否使用GCP KMS存储凭证？Secret Manager是否更合适？

• Cloud KMS的核心定位：它是密钥管理服务，负责生成、管理加密密钥，提供加解密操作，但确实不存储加密后的明文或密文数据。你需要自行存储加密后的凭证密文，KMS仅负责密钥层面的安全管控，比如密钥轮换、权限校验等。
• Secret Manager的核心定位：它是专门的凭证存储服务，可直接存储明文凭证（后台会自动完成加密），同时提供版本管理、访问控制、审计日志等配套能力，完全适配凭证存储的需求——无需自行处理加密后的存储逻辑，直接调用API即可完成凭证的获取或更新。

你的判断是准确的：如果需求是存储凭证，Secret Manager才是更适配的选择。KMS更适合需要自主管控加密流程、指定密文存储位置（如GCS、数据库）的场景，用于提供密钥安全支撑；而Secret Manager是端到端的凭证托管方案，更贴合“存储凭证”的核心诉求。

内容的提问来源于stack exchange，提问作者Snehal Masne