翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# ハードコードされたデータベース認証情報を に移動する AWS Secrets Manager
コード内に平文のデータベース認証情報がある場合は、認証情報を Secrets Manager に移動して、すぐにローテートすることをお勧めします。認証情報を Secrets Manager に移動することで、コードを見た人に認証情報が見えるという問題が解決されます。なぜなら、今後、あなたのコードは Secrets Manager から直接認証情報を取得するからです。シークレットを回転させると、パスワードが更新され、現在のハードコードされたパスワードが無効となるように取り消されます。
Amazon RDS、Amazon Redshift、および Amazon DocumentDB データベースの場合、このページの手順を使用してハードコードされた認証情報を Secrets Manager に移動させることができます。他のタイプの認証情報や他のシークレットについては、「[ハードコードされたシークレットを に移動する AWS Secrets Manager](hardcoded.md)」を参照してください。
開始する前に、シークレットへのアクセスが必要なユーザーを決める必要があります。シークレットへのアクセス権限を管理するために、2 つの IAM ロールを使用することをお勧めします。
+ 組織のシークレットを管理するロール。詳細については、「[Secrets Manager 管理者のアクセス許可](auth-and-access.md#auth-and-access_admin)」を参照してください。このロールを使用してシークレットを作成し、ローテーションします。
+ 実行時に認証情報を使用できるロール、このチュートリアルでは *RoleToRetrieveSecretAtRuntime* です。コードは、このロールを担ってシークレットを取得します。
**Topics**
+ [ステップ 1: シークレットを作成する](#hardcoded-db-creds_step2)
+ [ステップ 2: コードを更新する](#hardcoded-db-creds_step3)
+ [ステップ 3: シークレットをローテーションする](#hardcoded-db-creds_step5)
+ [次の手順](#hardcoded-db-creds_nextsteps)
## ステップ 1: シークレットを作成する
最初のステップは、既存のハードコードされた認証情報を、Secrets Manager でシークレットにコピーすることです。レイテンシーを最低限に抑えるために、シークレットをデータベースと同じリージョンに保存します。
**シークレットを作成する**
1. Secrets Manager のコンソール ([https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/)) を開きます。
1. **[Store a new secret]** (新しいシークレットを保存する) を選択します｡
1. [**Choose secret type**] (シークレットタイプを選択する) ページで、次の操作を行います。
1. **[Secret type]** (シークレットタイプ) で、保存するデータベース認証情報のタイプを選択します。
+ **Amazon RDS データベース**
+ **Amazon DocumentDB データベース**
+ **Amazon Redshift データウェアハウス**。
+ その他のタイプのシークレットについては、「[ハードコードされたシークレットを置き換える](https://docs.aws.amazon.com/secretsmanager/latest/userguide/hardcoded.html)」を参照してください。
1. **認証情報**を使用する場合、データベースの既存のハードコードされた認証情報を入力します。
1. **[Secrets Manager] (暗号化キー)** で **aws/secretsmanager** を選択すると、Secrets Manager に AWS マネージドキー マネージドキーを使用します。このキーを使用してもコストは発生しません。独自のカスタマーマネージドキーを使用することもできます (例えば、[別の AWS アカウントアカウントからシークレットにアクセスする場合など](auth-and-access_examples_cross.md))。カスタマーマネージドキーの使用料金の詳細については、「[料金](intro.md#asm_pricing)」を参照してください。
1. **[Database]** (データベース) で、データベースを選択します。
1. [**次へ**] を選択します。
1. [**Configure secret**] (シークレットを設定する) ページで、次の操作を行います。
1. わかりやすい**シークレット名**と**説明**を入力します。
1. **[Resource permissions]** (リソースのアクセス許可) で、**[Edit permissions]** (アクセス許可の編集) を選択します。*RoleToRetrieveSecretAtRuntime* がシークレットを取得できるように以下のポリシーを貼り付け、**[保存]**を選択します。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:role/RoleToRetrieveSecretAtRuntime"
},
"Action": "secretsmanager:GetSecretValue",
"Resource": "*"
}
]
}
```
------
1. ページの最下部にある **[Next]** (次へ) を選択します。
1. リポジトリの [**Configure rotation**] (ローテーションを設定する) ページでは、今のところローテーションはオフにしておきます。後でオンにします。**[Next]** (次へ) を選択します。
1. **[Review]** (レビュー) ページで、シークレットの詳細を確認し、**[Store]** (保存) を選択します。
## ステップ 2: コードを更新する
コードは、シークレットを取得できるように、IAMロール *RoleToRetrieveSecretAtRuntime* を想定している必要があります。詳細については、[「IAM ロールへの切り替え (AWS API)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-api.html)」を参照してください。
次に、Secrets Manager が提供するサンプルコードを使用して、Secrets Manager からシークレットを取得するようにコードを更新します。
**サンプルコードを見るには**
1. Secrets Manager コンソール ([https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/)) を開きます。
1. **[Secrets]** (シークレット) ページで、自分のシークレットを選択します。
1. **[サンプルコード]** を下にスクロールします。言語を選択し、コードスニペットをコピーします。
アプリケーションで、ハードコードされた認証情報を削除し、コードスニペットを貼り付けます。コード言語によっては、スニペットの中に関数やメソッドの呼び出しを追加する必要があります。
ハードコードされた認証情報の代わりにシークレットを使用して、アプリケーションが期待通りに動作することをテストしてください。
## ステップ 3: シークレットをローテーションする
最後のステップは、シークレットのローテーションによってハードコードされた認証情報を失効させることです。*ローテーション*とは、シークレットを定期的に更新するためのプロセスのことです。シークレットのローテーションを行うと、シークレットとデータベースの両方で認証情報が更新されます。Secrets Manager は、設定したスケジュールで自動的にシークレットをローテーションすることができます。
ローテーションの設定の一部として、Lambda ローテーション関数が Secrets Manager とデータベースの両方にアクセスできることを確認する必要があります。自動ローテーションをオンにすると、Secrets Manager は Lambda ローテーション機能をデータベースと同じ VPC に作成し、データベースへのネットワークアクセスができるようにします。Lambda ローテーション関数は、Secrets Manager を呼び出してシークレットを更新することも可能でなければなりません。Lambda から Secrets Manager への呼び出しが AWS インフラストラクチャを離れないように、VPC に Secrets Manager エンドポイントを作成することをお勧めします。手順については、「[AWS Secrets Manager VPC エンドポイントの使用](vpc-endpoint-overview.md)」を参照してください。
**ローテーションを有効にするには**
1. Secrets Manager コンソール ([https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/)) を開きます。
1. **[Secrets]** (シークレット) ページで、自分のシークレットを選択します。
1. **シークレットの詳細**ページで、**[Rotation configuration]** (ローテーション設定) セクションの **[Edit rotation]** (ローテーションの編集) を選択します。
1. **[Edit rotation configuration]** (ローテーション設定の編集) ダイアログボックスで、次の操作を行います。
1. **[Automatic rotation]** (自動ローテーション) を有効化します。
1. **[ローテーションのスケジュール]**で、UTC タイムゾーンでスケジュールを入力します。
1. シークレットを保存したときにシークレットをローテーションするには、**[Rotate immediately when the secret is stored]** (シークレットが保存されたときにすぐにローテーションする) を選択します。
1. **ローテーション関数**で、**[Create a new Lambda function]** (新しい Lambda 関数の作成) を選択し、新しい関数の名前を入力します。Secrets Manager は、関数名の先頭に「SecretsManager」を追加します。
1. **[ローテーション戦略]** で、**[単一ユーザー]** を選択します。
1. **[保存]** を選択します。
**シークレットがローテーションしたことを確認するには**
1. Secrets Manager のコンソール ([https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/)) を開きます。
1. **[Secrets]** (シークレット) で、シークレットを選択します。
1. **[Secret details]** (シークレットの詳細) ページで、下へスクロールし、**[Retrieve secret value]** (シークレットの値を取得する) を選択します。
シークレットの値が変更された場合、ローテーションは成功したことになります。シークレットの値が変更されなかった場合、ローテーション関数の CloudWatch Logs を見て [ローテーションのトラブルシューティング](troubleshoot_rotation.md) する必要があります。
ローテーションされたシークレットを使用して、アプリケーションが期待どおりに動作するかどうかテストします。
## 次の手順
コードからハードコードされたシークレットを削除した後、次に検討すべきいくつかの項目を挙げます。
+ シークレットをキャッシュすることで、パフォーマンスを向上させ、コストを削減することができます。詳細については、「[からシークレットを取得する AWS Secrets Manager](retrieving-secrets.md)」を参照してください。
+ 別のローテーションスケジュールを選択できます。詳細については、「[ローテーションスケジュール](rotate-secrets_schedule.md)」を参照してください。
+ Java や Python のアプリケーションでハードコードされたシークレットを見つけるには、[Amazon CodeGuru Reviewer](https://docs.aws.amazon.com/codeguru/latest/reviewer-ug/welcome.html) をお勧めします。