Google cloud platform 在GCP中，KMS和secret manager有什么区别？

我想知道你是否能帮我回答以下问题。 KMS和GCP中的秘密管理者之间有什么区别？先谢谢你。 HB

加密数据并返回加密的密文。云KMS不存储秘密，只存储要加密/解密的密钥

实际上存储了秘密材料。机密管理器还保存机密材料的历史记录（版本）。机密管理器中的所有数据都是加密的。默认情况下，它是用谷歌管理的密钥加密的。实际上，您可以使用云KMS加密机密管理器机密（称为“CMEK”），在这种情况下，用户可以控制密钥。

被设计为一个加密oracle系统：没有人，包括您自己，可以取出密钥：这意味着它们被锁定在系统内，您实际上不必担心它们泄漏。折衷的办法是，您只能使用这些密钥进行加密、解密和其他加密操作：用于保护数据，甚至用于加密机密，但如果您有数据库密码或其他您想保密的内容，但实际上可以使用或发送到其他地方，您必须存储加密版本，然后使用云KMS对其进行解密

当您确实拥有数据库密码之类的配置信息时，您的软件实际上需要的是秘密，而不是加密操作，那么它就是针对该用例设计的。折衷的办法是，如果你得到一份秘密的副本，就很难防止它泄露，也很难确定它是受控的

---

感谢您使用GCP

我想补充一点，它们解决了两个完全不同的问题。CloudKMS是一种工具，允许用户生成、旋转、使用、销毁密钥，然后可以轻松地与其他服务/应用程序（如GCS）一起使用。Secret manager是一种允许您在应用程序外部存储机密的工具，它对于系统的良好云优先设计非常重要。