AWS Secrets Managerで認証情報を安全に管理する方法｜RDSパスワード自動ローテーションとEC2からの参照設計

この記事のポイント

・aws secretsmanager コマンドでシークレットを作成・取得できる
・EC2にIAMロールを付与して認証情報を安全に参照する設計ができる
・RDSパスワードの自動ローテーションをLambdaなしで設定できる
・Secrets ManagerとSSM Parameter Storeの使い分け基準が判断できる

# RDS認証情報をSecrets Managerに登録する
aws secretsmanager create-secret   --name prod/rds/mysql-password   --description "Production RDS MySQL password"   --secret-string '{"username":"dbadmin","password":"MySecureP@ss123"}'   --region ap-northeast-1

{
    "ARN": "arn:aws:secretsmanager:ap-northeast-1:123456789012:secret:prod/rds/mysql-password-AbCdEf",
    "Name": "prod/rds/mysql-password",
    "VersionId": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
}

# シークレット値を取得する（SecretStringだけ抽出）
aws secretsmanager get-secret-value   --secret-id prod/rds/mysql-password   --query SecretString   --output text

{"username":"dbadmin","password":"MySecureP@ss123"}

# シークレット一覧を確認する
aws secretsmanager list-secrets   --query 'SecretList[].{Name:Name,LastRotated:LastRotatedDate}'   --output table

-----------------------------------------------------------
|                       ListSecrets                       |
+-------------------------------+-------------------------+
|          LastRotated          |          Name           |
+-------------------------------+-------------------------+
|  2026-08-15T03:10:22+09:00   |  prod/rds/mysql-password|
+-------------------------------+-------------------------+

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:ap-northeast-1:123456789012:secret:prod/rds/*"
    }
  ]
}

#!/bin/bash
# Secrets Managerからシークレットを取得してMySQLへ接続する
SECRET=$(aws secretsmanager get-secret-value   --secret-id prod/rds/mysql-password   --query SecretString   --output text)

DB_USER=$(echo "$SECRET" | python3 -c "import sys,json;print(json.load(sys.stdin)['username'])")
DB_PASS=$(echo "$SECRET" | python3 -c "import sys,json;print(json.load(sys.stdin)['password'])")

mysql -h db.example.internal -u "$DB_USER" -p"$DB_PASS" myapp_db

# RDSのシングルユーザーローテーションを設定する（30日ごと）
aws secretsmanager rotate-secret   --secret-id prod/rds/mysql-password   --rotation-rules AutomaticallyAfterDays=30   --rotate-immediately

{
    "ARN": "arn:aws:secretsmanager:ap-northeast-1:123456789012:secret:prod/rds/mysql-password-AbCdEf",
    "Name": "prod/rds/mysql-password",
    "VersionId": "b2c3d4e5-6789-01bc-deff-EXAMPLE22222"
}

# ローテーション設定と最終ローテーション日時を確認する
aws secretsmanager describe-secret   --secret-id prod/rds/mysql-password   --query '{RotationEnabled:RotationEnabled,LastRotated:LastRotatedDate,NextRotation:NextRotationDate}'

{
    "RotationEnabled": true,
    "LastRotated": "2026-08-22T03:12:44.523000+09:00",
    "NextRotation": "2026-09-21T03:12:44.523000+09:00"
}

# aws secretsmanager get-secret-value 実行時のエラー例
An error occurred (AccessDeniedException) when calling the GetSecretValue operation:
User: arn:aws:sts::123456789012:assumed-role/MyEC2Role/i-0abc1234def56789a
is not authorized to perform: secretsmanager:GetSecretValue on resource:
arn:aws:secretsmanager:ap-northeast-1:123456789012:secret:prod/rds/mysql-password-AbCdEf

# シークレットを削除する（30日後に自動削除）
aws secretsmanager delete-secret \
  --secret-id prod/rds/mysql-password

# 即時削除する場合は --force-delete-without-recovery を付ける（復元不可）
aws secretsmanager delete-secret \
  --secret-id prod/rds/mysql-password \
  --force-delete-without-recovery