Cómo construir de forma segura una bóveda de claves con secretos con Terraform.

Quiero crear y poblador un almacén de claves de Azure utilizando Terraform+Azure DevOps.

Mi pregunta es la siguiente: ¿cómo puedo construir este almacén de claves en Terraform sin almacenar las contraseñas para poblarlo en texto plano?

Si cifro un archivo que contiene las contraseñas y lo chequeo en el control de origen para ser descifrado/usado por Terraform al poblar el almacén de claves que quiero crear, tendría que crear y almacenar manualmente una llave en un almacén de claves de Azure separado que tendría que crear manualmente. Esto parece que sería un antipatrón si se intenta mantener toda la infraestructura como código, así que estoy buscando una mejor manera.