Как организовать secrets management?

Не храни секреты в коде или Git! Варианты: HashiCorp Vault, AWS Secrets Manager, GCP Secret Manager. В K8s — external-secrets operator тянет секреты из внешнего хранилища в K8s Secrets. В Go читаешь через env переменные — приложение не знает откуда они пришли.