为何要选用AWS Secrets Manager而非环境变量来管理密钥？

虽然两者都能避免在代码里硬编码密钥，但AWS Secrets Manager相比环境变量有几个不可替代的优势：

• 自动密钥轮换：可以配置定期自动更新密钥，用短期密钥替换长期密钥，就算密钥泄露，危害时长也会大幅缩短。环境变量做不到自动轮换，密钥一旦设置就长期有效，泄露后风险持续更久。
• 细粒度权限管控：通过IAM策略能精准控制哪些角色、服务或用户可以访问特定密钥，甚至限制访问的时间和方式。但环境变量只要能登录机器的人，都能通过env命令查看所有环境变量里的密钥，没法做权限隔离。
• 完整的密钥生命周期管理：除了自动轮换，还能跟踪密钥版本、设置过期时间、恢复旧版本，这些管理能力环境变量完全没有。
• AWS生态无缝集成：能和RDS、Lambda等AWS服务直接联动，比如自动轮换RDS数据库密码，不用手动去更新每个实例的环境变量。环境变量在多实例、分布式系统里手动维护很容易出现不一致。
• 审计与监控能力：Secrets Manager会记录所有密钥访问日志，还能设置监控告警，方便追踪密钥的访问情况，排查泄露问题。环境变量没有这类审计手段，出问题根本没法追溯。

Secrets Manager允许您通过编程方式调用API从Secrets Manager检索密钥，以此替换代码中硬编码的凭证（包括密码）。这有助于确保密钥不会因他人查看代码而泄露，因为密钥不再存在于代码中。此外，您可以配置Secrets Manager按照指定的计划自动轮换密钥，从而用短期密钥替代长期密钥，大幅降低泄露风险。

内容的提问来源于stack exchange，提问作者Andrean