AWS Secrets Manager に交代ユーザーローテーションを設定する

VPC を作成するには

1. Amazon VPC コンソール (https://console.aws.amazon.com/vpc/) を開きます。

2. [Create VPC (VPC の作成)] を選択します。

3. [VPC の作成] ページで、[VPC など] を選択します。

4. [名前タグの自動生成] で、[自動生成] に SecretsManagerTutorial と入力します。

5. DNS オプションでは、Enable DNS hostnames と Enable DNS resolution の両方を選択します。

6. [Create VPC (VPC の作成)] を選択します。

VPC 内に Secrets Manager エンドポイントを作成するには

1. Amazon VPC コンソールの [エンドポイント] 下で、[エンドポイントの作成] を選択します。

2. [Endpoint Settings] (エンドポイントの設定) の [Name] (名前) に SecretsManagerTutorialEndpoint と入力します。

3. [Services] (サービス) で secretsmanager と入力して、リストをフィルタリングし、AWS リージョン で Secrets Manager エンドポイントを選択します。米国東部 (バージニア北部) であれば、com.amazonaws.us-east-1.secretsmanager を選択します。

4. [VPC] で、vpc**** (SecretsManagerTutorial) を選択します。

5. [Subnets] (サブネット) で、すべての [Availability Zones] (アベイラビリティーゾーン) を選択し、各アベイラビリティーゾーンに [Subnet ID] (サブネット ID) を挿入します。

6. [IP address type] (IP アドレスタイプ) で、IPv4 を選択します。

7. [Security groups] (セキュリティグループ) で、デフォルトのセキュリティグループを選択します。

8. [Policy type] (ポリシーの種類) で、Full access を選択します。

9. [エンドポイントの作成] を選択します。

VPC 内に Amazon RDS エンドポイントを作成するには

1. Amazon VPC コンソールの [エンドポイント] 下で、[エンドポイントの作成] を選択します。

2. [Endpoint Settings] (エンドポイントの設定) の [Name] (名前) に RDSTutorialEndpoint と入力します。

3. [Services] (サービス) で、rds と入力してリストをフィルタリングし、AWS リージョン で Amazon RDS エンドポイントを選択します。米国東部 (バージニア北部) であれば、com.amazonaws.us-east-1.rds を選択します。

4. [VPC] で、vpc**** (SecretsManagerTutorial) を選択します。

5. [Subnets] (サブネット) で、すべての [Availability Zones] (アベイラビリティーゾーン) を選択し、各アベイラビリティーゾーンに [Subnet ID] (サブネット ID) を挿入します。

6. [IP address type] (IP アドレスタイプ) で、IPv4 を選択します。

7. [Security groups] (セキュリティグループ) で、デフォルトのセキュリティグループを選択します。

8. [Policy type] (ポリシーの種類) で、Full access を選択します。

9. [エンドポイントの作成] を選択します。

踏み台ホストの EC2 インスタンスを作成するには

1. Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。

2. [Instances] (インスタンス) を選択し、[Launch instance] (インスタンスの作成) を選択します。

3. [Name and tags] (名前とタグ) の、[Name] (名前) で、SecretsManagerTutorialInstance と入力します。

4. [アプリケーションと OS イメージ] で、デフォルトの Amazon Linux 2 AMI (HMV) Kernel 5.10 をそのまま使用します。

5. [インスタンス タイプ] で、デフォルトの t2.micro をそのまま使用します。

6. [Key pair] (キーペア) で [Create key pair] (キーペアの作成) を選択します。

   [キーペア作成] ダイアログボックスの [キーペア名] に SecretsManagerTutorialKeyPair を入力し、[作成] を選択します。

   キーペアは自動的にダウンロードされます。

7. [Network settings] (ネットワーク設定) で、[Edit] (編集) を選択し、次の操作を実行します。

   1. VPCで、vpc-**** SecretsManagerTutorial を選択します。

   2. [Auto-assign Public IP] (自動割り当てパブリック IP) で、Enable を選択します。

   3. [Firewall] (ファイアウォール) の 既存のセキュリティグループ を選択します。

   4. [Common security groups] (共通のセキュリティグループ) で、default を選択します。

8. [インスタンスを起動] を選択します。

管理者認証情報を含む Secrets Manager シークレットを使用して Amazon RDS データベースを作成するには

1. Amazon RDS コンソールで、[Databases] (データベース) を選択します。

2. [Engine options] (エンジンオプション) セクションで、エンジンタイプとして MySQL を選択します。

3. [Templates] (テンプレート) セクションで、Free tier を選択します。

4. [設定] セクションで、以下の手順を実行します。

   1. [DB instance identifier] (DB インスタンス識別子) にSecretsManagerTutorial と入力します。

   2. [認証情報の設定] で、[AWS Secrets Manager でマスター資格情報を管理する] を選択します。

5. [Connect] (接続) セクションの [Computer resource] (コンピューターリソース) で、[EC2 computer resource] を選択し、[EC2 インスタンス] (EC2 コンピュータリソースに接続) で SecretsManagerTutorialInstance を選択します。

6. [データベースの作成] を選択します。

ローカルコンピューターが EC2 インスタンスに接続できるようにするには

1. Amazon EC2 コンソール (https://console.aws.amazon.com/ec2/) を開きます。

2. EC2 インスタンスの [SecretsManager TutorialInstance] (セキュリティマネージャー チュートリアルインスタンス) の [Security] (セキュリティ) タブの [Security groups] (セキュリティグループ) で、sg-*** (ec2-rds-X) を選択します。

3. [Input rules] (インプットルール) で、[Edit inbound rules] (インバウンドルールを編集) を選択します。

4. [Add rule] (ルールを追加) を選択し、次の操作を行います。

   1. [Type] (タイプ) で、SSH を選択します。

   2. [Source type] (ソースタイプ) で My IP を選択します。

MySQL Workbench でデータベースの接続を設定するには

1. MySQL Workbench で、[MySQL Connections] (MySQL 接続) の横にある (+) ボタンをクリックします。

2. [Setup New Connection] (新しい接続の設定) ダイアログボックスで、次を実行します。

   1. [Connection Name] (接続名) に、SecretsManagerTutorial と入力します。

   2. [Connection method] (接続方法) で、Standard TCP/IP over SSH を選択します。

   3. [Parameters] (パラメータ) タブで、次を実行します。

      1. [SSH Hostname] (SSH ホスト名) に、Amazon EC2 インスタンスのパブリック IP アドレスを入力します。

         この IP アドレスは、インスタンス [SecretsManagerTutorialInstance] を選択すると、Amazon EC2 コンソールに表示されます。[Public IPv4 DNS] の下に表示された IP アドレスをコピーします。

      2. [SSH Username] (SSH ユーザーネーム) に、ec2-user と入力します。

      3. [SSH Keyfile] (SSH キーファイル) で、前回の前提条件でダウンロードしたキーペアファイル [SecretsManagerTutorialKeyPair.pem] を選択します。

      4. [MySQL Hostname] (MySQL ホスト名) に、Amazon RDS エンドポイントアドレスを入力します。

         このエンドポイントアドレスは、データベースインスタンス [secretsmanagertutorialdb] を選択すると、Amazon RDS コンソールに表示されます。[Endpoint] (エンドポイント) の下に表示されたアドレスをコピーします。

      5. [Username] (ユーザーネーム) に、admin と入力します。

   4. [OK] を選択します。

管理者パスワードを取得するには

1. Amazon RDS コンソールで、データベースに移動します。

2. [Configuration] (設定) タブの [Master Credentials ARN] (マスター認証情報 ARN)で、[Manage in Secrets Manager] (Secrets Managerの管理) を選択します。

   Secrets Manager コンソールが開きます。

3. シークレットの詳細ページで、[Retrieve secret value] (シークレット値の取得) を選択します。

4. パスワードは [Secret value] (シークレット値) セクションに表示されます。

データベースユーザーを作成するには

1. MySQL Workbench で、接続 [SecretsManagerTutorial] を選択します。

2. シークレットから取得した管理者パスワードを入力します。

3. MySQL Workbenchの[Query] (クエリ) ウィンドウで、次のコマンド (強力なパスワードを含む) を入力し、[Execute] (実行) を選択します。ローテーション関数は SELECT を使用して更新されたシークレットをテストするため、appuser には少なくともその権限が必要です。

   CREATE DATABASE myDB;
   CREATE USER 'appuser'@'%' IDENTIFIED BY 'EXAMPLE-PASSWORD';
   GRANT SELECT ON myDB . * TO 'appuser'@'%';

   [Output] (出力) ウィンドウに、コマンドが実行されたことが表示されます。

1. Secrets Manager のコンソール (https://console.aws.amazon.com/secretsmanager/) を開きます。

2. [Store a new secret] (新しいシークレットを保存する) を選択します｡

3. [Choose secret type] (シークレットタイプを選択する) ページで、次の操作を行います。

   1. [Secret type] (シークレットタイプ) で、[Credentials for Amazon RDS database] (Amazon RDS データベースの認証情報) を選択します。

   2. [Credentials] (認証情報) で、ユーザーネーム appuser と、MySQL Workbench を使って作成したデータベースユーザー向けに入力したパスワードを入力します。

   3. [Database] (データベース) で、secretsmanagertutorialdb を選択します。

   4. [Next] を選択します。

4. [Configure secret] (シークレットを設定する) ページで、[Secret name] (シークレット名) に SecretsManagerTutorialAppuser と入力し、[Next] (次) を選択します。

5. [Configure Routing] (ローテーションを設定する) ページで、以下を実行します。

   1. [Automatic rotation] (自動ローテーション) を有効化します。

   2. [Rotation schedule] (ローテーションスケジュール) で、[Days] (日数) のスケジュールを設定します: [Duration] (期間) の 2 日間: 2h。[Rotate immediately] (すぐにローテーションする) は選択したままにしておきます。

   3. [Rotation function] (ローテーション関数) で [Create a rotation function] (ローテーション関数を作成) を選択し、[Function Name] (関数名) に tutorial-alternating-users-rotation と入力します。

   4. [ローテーション戦略] で [代替ユーザー] を選択し、[管理者認証情報シークレット] で rds!cluster... という名前のシークレットを選択します。これには、このチュートリアル secretsmanagertutorial で作成したデータベースの名前を含む [説明] が含まれています (例: Secret associated with primary RDS DB instance: arn:aws:rds:Region:AccountId:db:secretsmanagertutorial)。

   5. [Next] を選択します。

6. [Review] (確認) ページで [Store] (保存) を選択します。

   Secrets Manager はシークレットの詳細ページに戻ります。ローテーション設定のステータスは、ページの上部で確認できます。Secrets Manager では、Lambda ローテーション関数や Lambda 関数を実行する実行ロールなどのリソースを作成するときは CloudFormation を使用します。CloudFormation が終了すると、バナーがローテーションが予定されているシークレットに切り替わります。これで、最初のローテーションは完了です。

シークレットから新しいパスワードを取得するには

1. Secrets Manager のコンソール (https://console.aws.amazon.com/secretsmanager/) を開きます。

2. [Secrets] (シークレット) を選択し、シークレット SecretsManagerTutorialAppuser を選択します。

3. [Secret details] (シークレットの詳細) ページで、下へスクロールし、[Retrieve secret value] (シークレットの値を取得する) を選択します。

4. [Key/value] (キー/バリュー) テーブルで、password のシークレットの値をコピーします。

認証情報をテストするには

1. MySQL ワークベンチで、接続 [SecretsManagerTutorial] を右クリックし、[Edit Connection] (接続を編集) を選択します。

2. [Manage Server Connections] (サーバー接続を管理) ダイアログボックスで、[Username] (ユーザーネーム) に appuser と入力し、[Close] (閉じる) を選択します。

3. MySQL Workbench に戻り、接続 [SecretsManagerTutorial] を選択します。

4. [Open SSH Connection] (SSH 接続を開く) ダイアログボックスで、シークレットから取得したパスワードを [Password] (パスワード) に貼り付けて、[OK] をクリックします。

   認証情報が有効であれば、MySQL Workbench でデータベースの設計ページが開きます。