AWS SSM Get Parameterを活用したマルチ環境VPC秘密設定管理設計｜dev/stg/prod分離

この記事のポイント

・aws ssm get-parameterでパラメータを環境ごとに安全取得できる
・/dev/, /stg/, /prod/ のパス設計でdev/stg/prod環境を完全分離する
・SecureStringは--with-decryptionオプションで復号して取得する
・IAMポリシーのパスプレフィックス制限で環境間の誤アクセスを防げる

# パラメータパス設計の例（アプリ名: myapp）
/dev/myapp/db_host          dev環境のDBエンドポイント（String型）
/dev/myapp/db_password      dev環境のDBパスワード（SecureString型）
/stg/myapp/db_host          stg環境のDBエンドポイント（String型）
/stg/myapp/db_password      stg環境のDBパスワード（SecureString型）
/prod/myapp/db_host         prod環境のDBエンドポイント（String型）
/prod/myapp/db_password     prod環境のDBパスワード（SecureString型）
/prod/myapp/api_key         prod環境のAPIキー（SecureString型）

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ssm:GetParameter",
        "ssm:GetParameters",
        "ssm:GetParametersByPath"
      ],
      "Resource": "arn:aws:ssm:ap-northeast-1:123456789012:parameter/prod/*"
    },
    {
      "Effect": "Allow",
      "Action": "kms:Decrypt",
      "Resource": "arn:aws:kms:ap-northeast-1:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
    }
  ]
}

aws --version
# 出力例:
# aws-cli/2.17.28 Python/3.11.9 Linux/6.1.91-99.172.amzn2023.x86_64 exe/x86_64.amzn.2023

aws ssm get-parameter   --name "/prod/myapp/db_host"   --region ap-northeast-1

{
    "Parameter": {
        "Name": "/prod/myapp/db_host",
        "Type": "String",
        "Value": "myapp-prod.cluster-xxxxxxxxxx.ap-northeast-1.rds.amazonaws.com",
        "Version": 3,
        "LastModifiedDate": "2026-09-15T10:23:41.000Z",
        "ARN": "arn:aws:ssm:ap-northeast-1:123456789012:parameter/prod/myapp/db_host",
        "DataType": "text"
    }
}

# --with-decryptionあり（SecureStringの正しい取得方法）
aws ssm get-parameter   --name "/prod/myapp/db_password"   --with-decryption   --region ap-northeast-1

{
    "Parameter": {
        "Name": "/prod/myapp/db_password",
        "Type": "SecureString",
        "Value": "MyS3cur3P@ssw0rd!",
        "Version": 5,
        "LastModifiedDate": "2026-09-15T10:23:42.000Z",
        "ARN": "arn:aws:ssm:ap-northeast-1:123456789012:parameter/prod/myapp/db_password",
        "DataType": "text"
    }
}

# 値のみを取得して変数に代入する
DB_HOST=$(aws ssm get-parameter   --name "/prod/myapp/db_host"   --query "Parameter.Value"   --output text   --region ap-northeast-1)

echo "${DB_HOST}"
# 出力例: myapp-prod.cluster-xxxxxxxxxx.ap-northeast-1.rds.amazonaws.com

#!/bin/bash
# EC2起動時にSSMからパラメータを注入するスクリプト
# 前提: EC2インスタンスプロファイルにssm:GetParameter権限がアタッチ済み

ENV="prod"
APP="myapp"
REGION="ap-northeast-1"

# String型パラメータ取得
DB_HOST=$(aws ssm get-parameter   --name "/${ENV}/${APP}/db_host"   --query "Parameter.Value"   --output text   --region "${REGION}")

# SecureString型パラメータ取得（--with-decryptionが必要）
DB_PASSWORD=$(aws ssm get-parameter   --name "/${ENV}/${APP}/db_password"   --with-decryption   --query "Parameter.Value"   --output text   --region "${REGION}")

API_KEY=$(aws ssm get-parameter   --name "/${ENV}/${APP}/api_key"   --with-decryption   --query "Parameter.Value"   --output text   --region "${REGION}")

# 取得した値をアプリの設定ファイルに書き出す
cat > /opt/myapp/.env << ENVEOF
DB_HOST=${DB_HOST}
DB_PASSWORD=${DB_PASSWORD}
API_KEY=${API_KEY}
ENVEOF

chmod 600 /opt/myapp/.env

# アプリケーション起動
systemctl start myapp

An error occurred (AccessDeniedException) when calling the GetParameter operation:
User: arn:aws:sts::123456789012:assumed-role/dev-ec2-role/i-0123456789abcdef0
is not authorized to perform: ssm:GetParameter on resource:
arn:aws:ssm:ap-northeast-1:123456789012:parameter/prod/myapp/db_password

An error occurred (ParameterNotFound) when calling the GetParameter operation:
Parameter /prod/myapp/db_host not found.

# /prod/myapp/ 配下のパラメータ一覧を確認する
aws ssm describe-parameters   --parameter-filters "Key=Name,Option=BeginsWith,Values=/prod/myapp/"   --region ap-northeast-1   --query "Parameters[*].Name"
# 出力例:
# [
#     "/prod/myapp/api_key",
#     "/prod/myapp/db_host",
#     "/prod/myapp/db_password"
# ]

ConnectTimeoutError: Connect timeout on endpoint URL:
"https://ssm.ap-northeast-1.amazonaws.com/"