服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- Databricks个人访问令牌和服务主体OAuth客户端密钥，以及Twilio API密钥和Auth Token纳入支持；替换后的Databricks PAT保留原scopes。
- 使用managed external secret及合作方规定的字段；控制台创建时默认启用轮换，不能据此推定任意API创建也默认开启。
- 控制台可配置合作方元数据、专用IAM角色与轮换计划；无需自写Lambda不等于无需权限。
- 公告仅覆盖支持managed external secrets的AWS区域；已读资料未给出完整区域清单或精确费用。应用缓存刷新和旧凭据处理仍需单独核。
这次省掉了哪一段工作？
AWS于2026年10月12日宣布，Secrets Manager的managed external secrets扩展到Databricks和Twilio。它是一种按合作方约定存储并轮换凭据的密钥类型，可在控制台或API设置计划，不用编写、部署和维护自定义轮换Lambda函数。
适用对象是使用这两家服务凭据的数据管道、CI/CD和消息或通话应用。可用范围是支持managed external secrets的AWS区域，不能扩写成全部AWS区域或全部账户已可用；已读五份资料没有完整区域清单、精确费用或免费承诺。
先选对凭据类型，PAT权限不会因替换变宽
Databricks支持个人访问令牌PAT和服务主体OAuth客户端密钥，对应类型为DatabricksPAT、DatabricksSPSecret。PAT用于调用服务的授权凭据；公告明确，每个替换PAT保留被替换令牌的scopes，也就是允许调用的权限范围。
Twilio支持API密钥与Auth Token；当前合作方表分别列出TwilioApiKey、TwilioAuthToken及TwilioMainApiKey。先核现有凭据属于哪一类，再按合作方要求准备secret value和rotation metadata。存储字段在CreateSecret时提供，轮换元数据在RotateSecret时使用，不能把任意字符串条目当作已正确接入。
已有managed external secret，控制台按这个顺序设
打开Secrets Manager控制台，选中已按合作方要求创建的managed external secret。先确认类型和值符合对应集成；以下流程不替代Databricks或Twilio各自的字段说明。
进入Configuration，在Rotation configuration中选择Edit rotation，再开启Automatic rotation。总览说明控制台创建时默认开启，已有条目仍应看实际设置，不能把控制台默认套到所有API创建流程。
在Rotation metadata中填入合作方要求的元数据。ExternalSecretRotationMetadata表示这些字段；不要把文档中Salesforce的apiVersion示例照搬到Databricks或Twilio。
在Service permissions for secret rotation中创建新角色，或选择权限适合该合作方的现有IAM角色。ExternalSecretRotationRoleArn指向这个角色；默认权限按合作方及密钥所在区域收窄。
设置Rotation schedule，再选择Save。文档的每30天是示例，不是这两家服务统一强制周期；按实际凭据要求与应用使用方式确定计划。
保存后核对类型、元数据、角色及计划是否符合预期。AWS提供控制台和API接入；本文没有创建密钥、修改权限、触发轮换或调用任何真实账户。
自动返回当前值，仍要看应用从哪里读取
公告说明，Secrets Manager返回当前凭据，让应用取得轮换后的值，并称无需代码改动。把这句话放回接入条件：先确认应用使用的就是Secrets Manager当前值，而不是另一份独立保存的凭据。
假设一个未执行的例子：任务已从Secrets Manager取值，另一个程序只在启动配置中保存旧值。检查两者的真实读取路径和刷新时点，才能判断轮换后各自会用哪份凭据。公告未说明某个客户端缓存何时刷新、旧凭据何时失效或连接是否重建，不据此保证所有程序立即无缝切换。
轮换角色、KMS与网络白名单分别核
安全文档说明，轮换角色在设置时验证，专用于轮换，权限可收窄到单个密钥。若使用客户管理的KMS密钥，还要核轮换角色的IAM策略及CMK trust policy所需权限；加密存储本身不能替代轮换授权。
外部资源限制入站IP时，核密钥所在区域的AWS托管前缀列表：com.amazonaws.region.secretsmanager-managed-external-secrets，其中region替换为实际区域。引用托管列表可随底层IP变化保持更新；若自行读取列表并维护规则，文档要求定期刷新。不要复制另一区域的示例地址，也不要为排错放宽全部入站。
下一步先验证一条获授权的调用链
可在获授权的隔离环境选择一个非生产凭据，先核正确类型、合作方字段、轮换角色和计划，再对照一次轮换活动及应用读取结果。这是建议流程，尚未执行；不能把控制台保存成功当作第三方凭据更新和应用接续都已成功。
AWS CloudTrail记录轮换活动、密钥值更新与管理操作。交接时记录发生时间、密钥类型、区域、应用读取方式和脱敏错误，保留还未确认的缓存、旧凭据及第三方字段问题；不把真实密钥值、令牌或完整请求头放进公开材料。
资料来源
常见问题
需要把第三方管理员账户权限交给AWS吗？
安全文档明确，managed external secrets不要求分享第三方应用账户的管理员级权限。轮换使用你提供的凭据与元数据进行已授权的更新及验证调用；仍需按对应合作方准备必要权限，而不是授予无限权限。
现有自建轮换Lambda会被自动删除吗？
已读资料说明该托管类型不需要在你的账户部署轮换Lambda，没有提供旧Lambda自动删除或已有任意密钥自动迁移的步骤。先核现有条目类型、调用链及迁移安排，不因新增支持就撤掉正在使用的旧流程。