View a markdown version of this page

Amazon EventBridge と AWS Secrets Manager イベントを照合する - AWS Secrets Manager
指定したシークレットに対するすべての変更にマッチさせるシークレット値がローテーションされたらイベントをマッチさせる

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon EventBridge と AWS Secrets Manager イベントを照合する

Amazon EventBridge では、CloudTrail ログエントリのSecrets Manager イベントを照合できます。これらのイベントを探す EventBridge ルールを設定し、新たに生成されたイベントをターゲットに送信してアクションを起こすことができます。Secrets Manager がログする CloudTrail エントリのリストについては、「CloudTrail エントリ」を参照してください。EventBridge の設定方法については、「EventBridge ユーザーガイド」の「EventBridge を使い始める」を参照してください。

注記

このトピックでは、EventBridge が CloudTrail ログエントリから派生する一致する Secrets Manager イベントについて説明します。Secrets Manager は、CloudTrail を必要としないイベントなど、ネイティブSecret Label Updatedイベントを EventBridge に直接発行します。ネイティブイベントの詳細については、「」を参照してくださいシークレットイベント通知。

指定したシークレットに対するすべての変更にマッチさせる

注記

Secrets Manager イベントの中には、シークレットの ARN を異なる大文字で返すものもあるため、複数のアクションにマッチするイベントパターンでは、ARN でシークレットを指定するために、arn キーと aRN の両方を含める必要がある場合があります。詳細については、「AWS re:Post」を参照してください。

次の例では、シークレットへの変更のログエントリを照合する EventBridge イベントパターンを示しています。

{
    "source": ["aws.secretsmanager"],
    "detail-type": ["AWS API Call via CloudTrail"],
    "detail": {
        "eventSource": ["secretsmanager.amazonaws.com"],
        "eventName": ["DeleteResourcePolicy", "PutResourcePolicy", "RotateSecret", "TagResource", "UntagResource", "UpdateSecret"],
        "responseElements": {
            "arn": ["arn:aws:secretsmanager:us-west-2:012345678901:secret:mySecret-a1b2c3"]
        }
    }
}

シークレット値がローテーションされたらイベントをマッチさせる

シークレットのアクティブな値がいつ変化するかを検出するには、AWSCURRENTステージングラベルのネイティブSecret Label Updatedイベントと一致することをお勧めします。Secrets Manager は、手動更新か自動ローテーションかにかかわらず、アクティブなシークレット値が変更されるたびにAWSCURRENTラベルを新しいバージョンに移動します。このイベントは、すべてのシークレットでデフォルトで有効になっており、デフォルトの EventBridge イベントバスにルーティングされます。これを使用するには、次の例に示すように、それに一致するイベントパターンを追加します。

{
    "source": ["aws.secretsmanager"],
    "detail-type": ["Secret Label Updated"],
    "detail": {
        "labelUpdated": ["AWSCURRENT"]
    }
}

Secret Label Updated イベントの詳細については、「」を参照してくださいシークレットイベント通知。

または、シークレット値を変更するオペレーションの CloudTrail ログエントリを照合することもできます。これらのイベントの一部は Secrets Manager オペレーションからのもので、一部は Secrets Manager サービスによって生成されます。両方detail-typeに を含める必要があります。次の例は、これらの CloudTrail ログエントリに一致する EventBridge イベントパターンを示しています。

{
    "source": ["aws.secretsmanager"],
    "detail-type": [
        "AWS API Call via CloudTrail",
        "AWS Service Event via CloudTrail"
    ],
    "detail": {
        "eventSource": ["secretsmanager.amazonaws.com"],
        "eventName": ["PutSecretValue", "UpdateSecret", "RotationSucceeded"]
    }
}