Config Server, a przetrzymywanie kluczy

Cześć,
piszę z takim pytaniem z ciekawości jak teraz najlepiej przetrzymywać klucze. Wiadomo, stricte dla aplikacji możemy to już mieć zaszyfrowane na poziomie config servera, albo config-server będzie zaciągał te secrety z jakiegoś Vaulta.
Co w przypadku kluczy potrzebnych stricte dla config servera? Czyli tak na przykładzie chociażby Springowego mamy takie coś:

spring:
  cloud:
    config:
      server:
        git:
          private-key: ${} - skąd go zaciągnąć?
encrypt:
  key: ${} - dla symetrycznego szyfrowania propertasów
  key-store:
    location: x
    password: ${} - dla asymetrycznego szyfrowania propertasów

Czy nadal standardowym podejściem w tym przypadku będzie zrobienie czegoś na zasadzie przekazania tych danych Terraformem, który sobie zaciągnie to z jakiegoś Vaulta? Czy są jakieś obecnie możliwości z mniejszym nakładem narzędzi? Zmienne środowiskowe raczej odpadają, bo są dość upierdliwe i i tak trzeba dużo się nabawić żeby przekazywać je poprawnie żeby gdzieś nam tam nie wyleciały.