AWS Secrets Manager は機密情報管理サービスで、アプリケーション、サービス、IT リソースへのアクセスの保護に役立ちます。このサービスでは、ライフサイクルを通じてデータベース認証情報、API キー、その他の機密情報を簡単に更新、管理、取得できます。Secrets Manager を用いると、AWS クラウド、サードパーティーサービス、オンプレミスのリソースへのアクセスに用いるシークレットにセキュリティを確保し、またこれを管理できます。

AWS Secrets Manager はアプリケーション、サービス、IT リソースへのアクセスを保護し、このための自社のインフラストラクチャを運営する先行投資や継続的なメンテナンスコストも不要です。

Secrets Manager は、シークレットを保存、管理するために安全でスケーラブルな方法を求めている IT 管理者に最適です。規制やコンプライアンス要件の遵守を担うセキュリティ管理者は、Secrets Manager を使用して、シークレットをモニタリングし、アプリケーションに影響を与えることなくシークレットを更新できます。アプリケーションにコードで書き込んだシークレットを置き換えたいデベロッパーの方は、Secrets Manager からプログラムでシークレットを取得できます。

AWS Secrets Manager では、シークレットを一元的に保管、取得、アクセスを制限、更新、監査、監視できます。

保管中のシークレットを暗号化することにより、認可されていないユーザーが機密情報を見る可能性を低減できます。シークレットを取得するには、アプリケーション中のプレーンテキストのシークレットを、Secrets Manager API を使用して、シークレットをプログラムで取得するコードに置き換えるだけです。AWS Identity and Access Management (IAM) ポリシーを使用して、こうしたシークレットにアクセスできるユーザーとアプリケーションを制限します。AWS でホストされた、サポートされるデータベースタイプのパスワードの更新は、スケジュールに従って、またはオンデマンドで、アプリケーションに影響を与えるリスクなく行えます。サンプル Lambda 関数を変更することで、この機能を他のシークレットの更新にも拡張できます。Amazon EC2 でホストされている Oracle データベースのパスワードや、OAuth リフレッシュトークンなどの更新も行えます。また、Secrets Manager は AWS CloudTrail、Amazon CloudWatch、Amazon Simple Notification Service (Amazon SNS) と統合するため、シークレットを監査し、モニタリングできます。

データベース認証情報、オンプレミスリソース認証情報、SaaS アプリケーション認証情報、サードパーティー API キー、Secure Shell (SSH) キーなどのシークレットを管理できます。Secrets Manager を使うと JSON ドキュメントを保存でき、64 KB 以下のどんな小テキストでも管理できるようになります。

Amazon Relational Database Service (RDS)、Amazon DocumentDB、Amazon Redshift の認証情報をネイティブにローテーションできます。Secrets Manager を拡張すれば、Secrets Manager ドキュメントにあるサンプル AWS Lambda 関数を変更して、EC2 でホストされている Oracle データベースの認証情報や、OAuth リフレッシュトークンなど、他のシークレットを更新することもできます。

まず、お使いのアプリケーションから特定のシークレットへのアクセスを許可する AWS Identity and Access Management (IAM) ポリシーを書く必要があります。次にアプリケーションソースコードで、プレーンテキストのシークレットを、Secrets Manager API を使用して、シークレットをプログラムで取得するコードに置き換えます。完全な詳細と例は、AWS Secrets Manager ユーザーガイドをご覧ください。

AWS Secrets Manager の使用を開始する:

1. シークレットを特定し、アプリケーション中のどこで使われているかを見つけます。
2. AWS 認証情報で AWS マネジメントコンソールにサインインし、Secrets Manager コンソールに移動します。
3. Secrets Manager コンソールで、特定したシークレットをアップロードします。別の方法として、AWS SDK または AWS CLI を使用してシークレットをアップロードできます (シークレット 1 つにつき 1 回)。また、スクリプトを書いて、複数のシークレットをアップロードすることもできます。
4. シークレットがまだ使用されていない場合は、コンソールにある手順に従って自動更新を設定してください。アプリケーションがシークレットを使っている場合、ステップ (5) と (6) を完了してから自動更新を設定してください。
5. 他のユーザーまたはアプリケーションがシークレットを取得する必要がある場合、IAM ポリシーを書いてシークレットへの権限を付与してください。
6. アプリケーションを更新して Secrets Manager からシークレットを取得してください。

AWS の各サービスを現在利用できるリージョンについては、AWS リージョン表をご覧ください。