DVAセキュリティ
本番環境の RDS（MySQL）認証情報を AWS Secrets Manager で管理している。90 日ごとに自動ローテーションを有効化したが、ローテーション実行後にアプリケーションが一時的にデータベース接続エラーになった。原因として最も考えられるものはどれか。
Aローテーション Lambda に RDS への VPC アクセス設定がなく、Secrets Manager 上の値だけ更新されて実際の DB パスワードが変わっていない
✓ 正解
ローテーション Lambda が RDS と同じ VPC 内にないかセキュリティグループ設定が不十分な場合、Secrets Manager の値は更新されても RDS の実パスワードは変更されず不整合が発生する。今回の症状と一致する正しい原因。
BSecrets Manager は新しいシークレット値をコンソールに保存するだけで、RDS のパスワードは手動で変更する必要がある
Secrets Manager のローテーションはローテーション Lambda を介して RDS のパスワードも自動で変更する。コンソールへの保存だけで手動変更が必要という説明は仕組みの誤解に基づいており、事実と異なる。
Cローテーション中はシークレットがロックされるため、アプリケーションはシークレットを読み取れなくなる
Secrets Manager のローテーションはシークレットをロックしない。AWS は AWSCURRENT と AWSPENDING の 2 ステージを使い、新旧パスワードを並行有効な状態に保ちながら安全に切り替えを実施する。
DRDS はパスワードの自動変更をサポートしていないため、Secrets Manager との統合は不可能である
Amazon RDS は Secrets Manager との自動ローテーション統合をサポートしており、AWS が公式のローテーション Lambda テンプレートも提供している。RDS が自動変更をサポートしないというのは事実と異なる。
解説
Secrets Manager の自動ローテーションはユーザーが用意するか AWS が提供するローテーション Lambda 関数を呼び出す仕組みです。この Lambda が RDS と同じ VPC 内にない、またはセキュリティグループで通信が許可されていない場合、Secrets Manager 上の値だけ更新されて RDS の実パスワードは変わらず不整合が発生します。Lambda の VPC・セキュリティグループ設定が必須です。
選択肢Bの「Secrets Manager はコンソールに保存するだけで RDS のパスワードは手動変更が必要」は誤りで、ローテーション Lambda が RDS へ直接接続してパスワードを変更します。
選択肢Cの「ローテーション中にシークレットがロックされる」は誤りで、Secrets Manager はバージョニング（AWSPENDING / AWSCURRENT / AWSPREVIOUS ラベル）によりローテーション中も継続的なシークレットアクセスを保証します。
選択肢Dの「RDS は自動パスワード変更をサポートしていない」は誤りで、Secrets Manager は RDS とのネイティブ統合を提供しており自動ローテーションが可能です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDVAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →