ハードコードされたデータベース認証情報を AWS Secrets Manager に移行する

Secrets Manager のコンソール (https://console.aws.amazon.com/secretsmanager/) を開きます。

[Store a new secret] (新しいシークレットを保存する) を選択します｡

[Choose secret type] (シークレットタイプを選択する) ページで、次の操作を行います。

1. [Secret type] (シークレットタイプ) で、保存するデータベース認証情報のタイプを選択します。

   • Amazon RDS データベース

   • Amazon DocumentDB データベース

   • Amazon Redshift データウェアハウス。

   • その他のタイプのシークレットについては、「ハードコードされたシークレットを置き換える」を参照してください。

2. 認証情報を使用する場合、データベースの既存のハードコードされた認証情報を入力します。

3. [Secrets Manager] (暗号化キー) で aws/secretsmanager を選択すると、Secrets Manager に AWS マネージドキー マネージドキーを使用します。このキーを使用してもコストは発生しません。独自のカスタマーマネージドキーを使用することもできます (例えば、別の AWS アカウント アカウントからシークレットにアクセスする場合など)。カスタマーマネージドキーの使用料金の詳細については、「料金」を参照してください。

4. [Database] (データベース) で、データベースを選択します。

5. [Next] を選択します。

[Configure secret] (シークレットを設定する) ページで、次の操作を行います。

1. わかりやすいシークレット名と説明を入力します。

2. [Resource permissions] (リソースのアクセス許可) で、[Edit permissions] (アクセス許可の編集) を選択します。RoleToRetrieveSecretAtRuntime がシークレットを取得できるように以下のポリシーを貼り付け、[保存]を選択します。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::AccountId:role/RoleToRetrieveSecretAtRuntime"
         },
         "Action": "secretsmanager:GetSecretValue",
         "Resource": "*"
       }
     ]
   }

3. ページの最下部にある [Next] (次へ) を選択します。

リポジトリの [Configure rotation] (ローテーションを設定する) ページでは、今のところローテーションはオフにしておきます。後でオンにします。[Next] (次へ) を選択します。

[Review] (レビュー) ページで、シークレットの詳細を確認し、[Store] (保存) を選択します。

Secrets Manager コンソール (https://console.aws.amazon.com/secretsmanager/) を開きます。

[Secrets] (シークレット) ページで、自分のシークレットを選択します。

[サンプルコード] を下にスクロールします。言語を選択し、コードスニペットをコピーします。

Secrets Manager コンソール (https://console.aws.amazon.com/secretsmanager/) を開きます。

[Secrets] (シークレット) ページで、自分のシークレットを選択します。

シークレットの詳細ページで、[Rotation configuration] (ローテーション設定) セクションの [Edit rotation] (ローテーションの編集) を選択します。

[Edit rotation configuration] (ローテーション設定の編集) ダイアログボックスで、次の操作を行います。

1. [Automatic rotation] (自動ローテーション) を有効化します。

2. [ローテーションのスケジュール]で、UTC タイムゾーンでスケジュールを入力します。

3. シークレットを保存したときにシークレットをローテーションするには、[Rotate immediately when the secret is stored] (シークレットが保存されたときにすぐにローテーションする) を選択します。

4. ローテーション関数で、[Create a new Lambda function] (新しい Lambda 関数の作成) を選択し、新しい関数の名前を入力します。Secrets Manager は、関数名の先頭に「SecretsManager」を追加します。

5. [ローテーション戦略] で、[単一ユーザー] を選択します。

6. [Save] を選択します。

Secrets Manager のコンソール (https://console.aws.amazon.com/secretsmanager/) を開きます。

[Secrets] (シークレット) で、シークレットを選択します。

[Secret details] (シークレットの詳細) ページで、下へスクロールし、[Retrieve secret value] (シークレットの値を取得する) を選択します。

シークレットの値が変更された場合、ローテーションは成功したことになります。シークレットの値が変更されなかった場合、ローテーション関数の CloudWatch Logs を見て ローテーションのトラブルシューティング する必要があります。