Cloud & AWSCả hai đều mã hoá bằng KMS, phân quyền bằng IAM và có audit trong CloudTrail. Khác nhau ở xoay vòng tự động và giá.
Secrets Manager
- Có rotation tích hợp: gắn Lambda rotation, với RDS/Redshift/DocumentDB thì AWS cung cấp sẵn hàm rotation.
- Hỗ trợ cross-account và replicate secret sang region khác.
- Tính tiền theo secret mỗi tháng cộng phí API call.
Parameter Store (SSM)
- Kiểu Standard miễn phí (giới hạn số lượng và 4KB/tham số), kiểu Advanced trả phí (8KB, policy hết hạn).
- Dùng SecureString để mã hoá bằng KMS.
- Không có rotation dựng sẵn — tự viết.
- Hợp với config thường (feature flag, endpoint, tên bucket) chứ không chỉ secret.
Cách chọn thực tế:
- Secret cần xoay vòng hoặc do bên khác dùng chung (DB master password, key thanh toán) → Secrets Manager.
- Config và secret ít nhạy cảm, số lượng nhiều, ngân sách chặt → Parameter Store SecureString.
- Dự án nhỏ hoàn toàn có thể dùng Parameter Store cho tất cả rồi nâng dần.
Dù chọn cái nào, hai nguyên tắc không đổi: không lưu secret trong biến môi trường của repo hay image Docker, và đọc secret lúc khởi động rồi cache trong bộ nhớ thay vì gọi API mỗi request (vừa tốn tiền vừa dễ bị throttle). Cache thì kèm cơ chế nạp lại khi secret xoay vòng.