Разработайте стратегию обработки секретов в пайплайне, когда необходимо запустить Terraform, требующий одновременного подключения к нескольким облачным провайдерам.

Для каждого облака выдавайте pipeline отдельную минимально необходимую краткоживущую identity, предпочтительно через OIDC federation.

Разделите provider aliases, роли и окружения, ограничьте trust policy конкретным workflow/ref. Если долгоживущие ключи неизбежны, храните их в secret manager и ротируйте. Защищайте state и plan: они тоже могут содержать секреты; sensitive лишь скрывает часть вывода.