Как работает: Config Server — отдельное приложение (@EnableConfigServer) с бэкендом: git, файловая система, Vault, база. Клиент при старте запрашивает /{application}/{profile}/{label} и получает свойства, которые встают в его Environment поверх локальных.
Плюсы: одна точка правды для всех сервисов и окружений; изменения настроек проходят ревью и имеют историю в git; общие настройки (application.yml в репозитории конфигов) для всех сервисов.
Обновление на лету: бины с @RefreshScope пересоздаются при вызове /actuator/refresh; Spring Cloud Bus рассылает событие обновления всем экземплярам через брокер. @ConfigurationProperties перепривязываются автоматически.
Секреты: значения {cipher}... шифруются ключом сервера, или Vault как бэкенд.
Минусы и альтернативы: ещё один сервис, от которого зависит старт всех остальных (нужна отказоустойчивость, spring.cloud.config.fail-fast, повторы). В Kubernetes многие используют ConfigMap/Secret, смонтированные файлами (spring.config.import=configtree:), и внешние операторы секретов — без отдельного сервера.