理論

AWS Systems Manager Parameter Store と Secrets Manager の違い

簡単な違いまとめ

• Parameter Store: 設定データや簡単なパスワードの管理。コストを抑えたい場合に適している。

• Secrets Manager: 機密情報の管理がメイン。ローテーションが必要な場合や強力なセキュリティが必要なケースに最適。

自動ローテーションの仕組み

• Secrets Manager はシークレットを保存するだけでなく、それを定期的に変更（ローテーション）する機能も持っています。

• ローテーションの際には、AWS Lambda 関数を使用してパスワードを更新し、その変更をアプリケーションやサービスに反映させます。

• ローテーションの頻度（例えば90日ごと）や、ローテーション処理を行うためのLambda関数も設定することができます。

自動ローテーションの設定手順

1. シークレットの作成: AWS Secrets Managerでシークレット（例えば、RDSのデータベースのパスワード）を作成します。

2. ローテーションの有効化: 作成したシークレットに対して、ローテーションを有効化します。この際、Lambda関数を指定して、どのようにパスワードをローテーションするかを設定します。

3. ローテーションのスケジュール設定: ローテーションの頻度を設定します（例：90日ごと）。

4. Lambda関数によるパスワード更新: Lambda関数が実行されることで、シークレットが自動的に更新され、新しいパスワードが適用されます。

実践

AWS Secrets ManagerでRDS認証情報を時間指定ローテーション | クラウド・AWSのIT技術者向けブログ SKYARCH BROADCASTING

システムで使用するユーザ名やパスワードのシークレット情報について、Systems ManagerのParameterStoreやSecrets Managerを利用している方が多いと思います。

https://www.skyarch.net/blog/aws-secrets-manager%E3%81%A7rds%E8%AA%8D%E8%A8%BC%E6%83%85%E5%A0%B1%E3%82%92%E6%99%82%E9%96%93%E6%8C%87%E5%AE%9A%E3%83%AD%E3%83%BC%E3%83%86%E3%83%BC%E3%82%B7%E3%83%A7%E3%83%B3/

Secrets Managerにシークレットを保存

自動ローテーションを有効にする

ローテーションスケジュールの設定

＜注意点＞

• Secrets ManagerのタイムゾーンはUTCです。

• cron式のminute、およびyearは0しか設定できません。

• これはローテーションウィンドウが正時に開始されるため、および1年を超える設定ができないためです。

• すぐにローテーションはネットワーク次第で失敗してしまいますので[OFF]にしておくのがオススメです。

ローテーション関数の設定

＜注意点＞

• lambda関数のSGからRDSのSGにアクセス許可されていること。

• プライベートサブネットであればPrivateLinkやNATを経由してSecrets Managerにアクセス可能であること。

• RDSと同じ場所に作成されることに抵抗がある場合は、作成後に移動しましょう。

• NATがない環境では、意外とハマりポイントなのでご注意です。

一問道場

• データベースは、強力でランダムに生成されたパスワードを使用し、AWSが管理する安全なサービスに保存されなければならない。

• アプリケーションリソースはAWS CloudFormationを使用してデプロイされなければならない。

• データベースの認証情報は90日ごとにローテーションされなければならない。

A. AWS Secrets Manager と RotationSchedule の組み合わせ

• Secrets Manager は、AWS が提供するフルマネージドなシークレット管理サービスです。強力なランダムなパスワードの生成、保存、管理、ローテーションをサポートします。

• RotationSchedule リソースを使用することで、Secrets Manager が自動的にパスワードをローテーションします。AWSはLambda関数を利用して、パスワードを自動的にローテーションします。

• この方法は、運用負荷が非常に少なく、Secrets Managerが自動でパスワードの管理とローテーションを行うため、セキュリティ要件を満たし、非常に効率的です。

B. AWS Systems Manager Parameter Store と RotationSchedule の組み合わせ

• Systems Manager Parameter Store は、シークレット管理のために使えるもう1つのサービスですが、Secrets Managerよりもシンプルな機能を提供します。

• SecureString パラメータタイプを使用して、暗号化されたパラメータを保存しますが、RotationScheduleは直接サポートしていません。このオプションでは、パスワードのローテーションを実行するためにAWS Lambda関数を手動で作成する必要があり、そのため運用負荷が増加します。

• Parameter Store を使った場合、Secrets Managerのような自動ローテーション機能がないため、運用負荷が高くなります。

C. AWS Secrets Manager と EventBridge によるスケジュール管理

• AWS Lambda を使ってパスワードをローテーションし、EventBridge を利用して90日ごとにLambda関数をトリガーする設定を行います。

• EventBridge によるスケジュールトリガーは可能ですが、Secrets Manager に組み込まれている RotationSchedule 機能を使えば、同じ結果をより簡単に得ることができます。したがって、運用負荷は高くなり、無駄な手間がかかる可能性があります。

D. AWS Systems Manager Parameter Store と AWS AppSync

• AppSync はGraphQLベースのデータ操作を提供するサービスであり、パラメータのローテーションには通常使用しません。Parameter Storeのパラメータを自動的にローテーションするためには、通常AWS Lambdaを使用しますが、AppSyncはその役割には適していません。

• この方法は、運用負荷が高く、不適切なリソースの選択であり、正しい選択肢ではありません。

結論