AWS Secres Managerでパスワード等をセキュアに管理する

はじめに

エキサイトホールディングス Advent Calendar 2021の12日目は、エキサイト株式会社の吉川が担当させていただきます！今回は、AWSのシークレット情報管理サービスの1つである AWS Secrets Manager について触れていきます！

AWS Secrets Manager

AWS Secrets Managerでできること

アプリケーションを構築する上で、DBにアクセスするためのユーザー名やパスワードは特に慎重に取り扱う必要があります。またアプリケーション内でAWS外部のサービスにアクセスする場合も同様で、その外部サービスにアクセスするためのパスワード等は管理に気を使う必要があります。

AWS Secrets Manager（以下AWSは省略します）はこれらのシークレット情報をセキュアに管理・共有するためのサービスです。例えば以下のような流れで利用することができます。

Secrets Managerにパスワードを保存
アプリケーション側はまずSecrets Managerにアクセスしてパスワードを取得
取得したパスワードを用いてアプリケーションからDBにアクセスする

アプリケーションのソースコード等とパスワードが切り離されるので、よりセキュアに運用することができるのです。

それパラメータストアでよくね？

はい。上記の説明でそう感じた方もいるのではないかと思います（というか自分がそうでした）。AWSには パラメータストア というサービスがあり、Secrets Managerと同じくセキュアにパスワードなどを管理できます。ということで両者の違いは何なのか、使ってみて比べてみました。

違い1: キーと値のペアで保存する

パラメータストアでは1つのパラメータにつき1つ以上の「値」が設定でき、Secrets Managerでは1つのシークレットにつき1つ以上の「キーと値のペア」が設定できます。図にすると以下のような違いになります。

# パラメータストア
パラメータA
 └値a
 └値b
# Secrets Manager
シークレットA
 └キーa - 値α
 └キーb - 値β

例えばDBの「ユーザー名」と「パスワード」を1つのパラメータ/シークレット内で保存したい場合、パラメータストアでは、この2つをどの順番で保存するか意識する必要があります。Secrets Managerではキー名にnameやpasswordなどを設定しておけば順番問わず区別できるので、ちょっと楽ができそうです。

違い2: 認証情報の自動更新ができる

公式ドキュメントに詳しく書いていますが、標準でAmazon RDS、Amazon DocumentDB、Amazon Redshiftの認証情報の更新をサポートしています。こまめにパスワードを変更することはセキュリティ上有効な手段ですが、手動で更新することは結構面倒なので（大きなアプリケーションになると実質不可能だと思います）、これを自動で行ってくれるのはありがたいですね。パラメータストアにはこの機能はなく、LambdaなどからAPIを使って更新する必要があります。