Где и как лучше хранить конфиденциальные данные для разворачивания проекта?
Разделять/отделять/четко ограничивать полномочия.
Небольшой сервис, управляющий ключом, например, а остальные не имеют к ключам доступа, а только к этому сервису обращаются. А он им разрешает делать только то, что можно.
Или пример как работает CloudFlare KeyLess посмотрите.
Hashicorp Vault
или Ansible Vault
Несмотря на совпадение названий - это принципиально разные вещи.