Terraform CDK是否支持类似Pulumi的栈级加密密钥管理方案？

• Terraform原生敏感字段标记：在CDK代码中给mongoPassword这类敏感字段添加sensitive: true属性，Terraform会自动在状态文件中加密存储该字段，并且在命令行输出、日志里隐藏明文值，状态文件提交Git时不会暴露密钥内容。

• 环境变量传递密钥：通过设置TF_VAR_前缀的环境变量（如TF_VAR_mongoPassword）传递密钥，CDK会自动读取这些环境变量作为对应变量的值，无需在代码或配置文件中写入明文密钥，彻底避免密钥进入版本控制系统。

• 集成外部密钥管理服务：直接在CDK代码中对接AWS Secrets Manager、HashiCorp Vault等专业密钥管理服务，通过Terraform数据源拉取密钥。比如从Vault获取数据库密码，代码中仅保留拉取逻辑，不存储实际密钥。

• 加密配置文件：使用git-crypt等工具对存放密钥的CDK配置文件（如自定义的环境配置文件或cdktf.json）进行加密，提交Git时只保留加密后的文件，本地使用时再解密，确保密钥不会以明文形式流入版本库。

内容的提问来源于stack exchange，提问作者Paymahn Moghadasian