ユーザーのパスワードの自動ローテーション

非アクティブユーザーの作成

Linux、macOS、Unix の場合:

aws elasticache create-user \
 --user-id user1 \
 --user-name user1 \
 --engine "REDIS" \
 --no-password \ // no authentication is required
 --access-string "*off* +get ~keys*" // this disables the user 

Windows の場合:

aws elasticache create-user ^
 --user-id user1 ^
 --user-name user1 ^
 --engine "REDIS" ^
 --no-password ^ // no authentication is required
 --access-string "*off* +get ~keys*" // this disables the user 

次のようなレスポンスが表示されます。

{
    "UserId": "user1",
    "UserName": "user1",
    "Status": "active",
    "Engine": "redis",
    "AccessString": "off ~keys* -@all +get",
    "UserGroupIds": [],
    "Authentication": {
        "Type": "no_password"
    },
    "ARN": "arn:aws:elasticache:us-east-1:xxxxxxxxxx918:user:user1"
}

シークレットを作成する

Linux、macOS、Unix の場合:

aws secretsmanager create-secret \
--name production/ec/user1 \
--secret-string \
'{
   "user_arn": "arn:aws:elasticache:us-east-1:123456xxxx:user:user1", 
    "username":"user1"
 }'

Windows の場合:

aws secretsmanager create-secret ^
--name production/ec/user1 ^
--secret-string ^
'{
   "user_arn": "arn:aws:elasticache:us-east-1:123456xxxx:user:user1", 
    "username":"user1"
 }'

次のようなレスポンスが表示されます。

{
 "ARN": "arn:aws:secretsmanager:us-east-1:123456xxxx:secret:production/ec/user1-eaFois",
 "Name": "production/ec/user1",
 "VersionId": "aae5b963-1e6b-4250-91c6-ebd6c47d0d95"
}

パスワードをローテーションするように Lambda 関数を設定する

1. にサインインAWS マネジメントコンソールし、https://console.aws.amazon.com/lambda/ で Lambda コンソールを開きます。

2. ナビゲーションパネルで [Functions] (関数) を選択し、作成した関数を選択します。関数名の左側のチェックボックスではなく、関数名を選択します。

3. [設定] タブを選択します。

4. [General configuration] (一般設定) で、[Edit] (編集) を選択し、[Timeout] (タイムアウト) を 12 分以上に設定します。

5. [保存] を選択します。

6. [Environment variables] (環境変数) を選択し、以下を設定します。

   1. SECRETS_MANAGER_ENDPOINT – https://secretsmanager.REGION.amazonaws.com

   2. SECRET_ARN – ステップ 2 で作成したシークレットの Amazon リソースネーム (ARN)。

   3. USER_NAME – ElastiCache ユーザーのユーザー名、

   4. [保存] を選択します。

7. [Permissions] (許可) を選択します。

8. [Execution role] (実行ロール) で、IAM コンソールに表示する Lambda 関数ロールの名前を選択します。

9. Lambda 関数でユーザーを変更してパスワードを設定するには、次のアクセス許可が必要です。

   ElastiCache

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "elasticache:DescribeUsers",
                   "elasticache:ModifyUser"
               ],
               "Resource": "arn:aws:elasticache:us-east-1:123456789012:user:user1"
           }
       ]
   }
   

   Secrets Manager

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "secretsmanager:GetSecretValue",
                   "secretsmanager:DescribeSecret",
                   "secretsmanager:PutSecretValue",
                   "secretsmanager:UpdateSecretVersionStage"
               ],
               "Resource": "arn:aws:secretsmanager:us-east-1:123456789012:secret:XXXX"
           },
           {
               "Effect": "Allow",
               "Action": "secretsmanager:GetRandomPassword",
               "Resource": "*"
           }
       ]
   }
   

シークレットマネージャーのシークレットローテーションを設定する

1. の使用についてはAWS マネジメントコンソール、「コンソールを使用したAWS Secrets Manager シークレットの自動ローテーションの設定」を参照してください。

   ローテーションのスケジュール設定の詳細については、「シークレットマネージャーのローテーションでのスケジュール式」を参照してください。

2. の使用についてはAWS CLI、「AWS Secrets Managerを使用するための自動ローテーションの設定」を参照してください。AWS Command Line Interface