Как ConfigMap и Secret отличаются и когда что использовать?

ConfigMap хранит конфигурационные данные в открытом виде — URL баз данных, feature флаги, настройки. Secret хранит чувствительные данные — пароли, токены, ключи. Оба монтируются как файлы или env переменные. Главная разница: Secret в base64 (не шифрование!), отдельный RBAC, etcd encryption at rest. Для настоящей безопасности используй External Secrets Operator с Vault или AWS Secrets Manager.