Webアプリケーションが管理する機密設定値は外部決済APIキー・Slack Webhook URL・データベース接続文字列の3種類ある。セキュリティ要件として①KMSによる暗号化保存②90日ごとの自動ローテーション（外部

Question

Webアプリケーションが管理する機密設定値は外部決済APIキー・Slack Webhook URL・データベース接続文字列の3種類ある。セキュリティ要件として①KMSによる暗号化保存②90日ごとの自動ローテーション（外部APIキーを含むすべての値）③CloudTrailによるアクセス監査、の3点をすべて単一のAWSサービスで満たしたい。最適なサービスはどれか。

Accepted Answer

正解: AWS Secrets Managerで全機密値を管理し、外部APIキー向けのカスタムLambdaローテーション関数を実装することで、すべての値を単一サービス内で自動ローテーションする。AWS Secrets ManagerはカスタムLambdaローテーション関数で外部APIキーを含む任意のシークレットの自動ローテーションを実現でき、KMS暗号化・CloudTrail監査を標準でサポートする。

Answer

AWS Systems Manager Parameter StoreのSecureStringで全値を管理し、EventBridgeの定期スケジュールルールでLambdaを起動してAPIキーを更新するカスタムローテーションを構築する — AWS Systems Manager Parameter StoreはKMS暗号化とCloudTrail監査には対応するが、自動ローテーション機能を持たず追加サービスで構築しても単一サービスの要件を満たさない。

Answer

AWS KMSで暗号化したJSONファイルをS3に保存してIAMポリシーで読み取りを制限し、EventBridgeとLambdaでAPIキーを定期ローテーションする構成を構築する — S3への暗号化ファイル保存はシークレット専用のバージョニング・アクセス制御・ローテーション機能を持たず、単一サービスで3要件を満たす設計に反する。

Answer

外部APIキーのみAWS Secrets Managerで管理してカスタムローテーションを設定し、データベース接続文字列はParameter StoreのSecureStringで管理して用途別に使い分ける — Secrets ManagerとParameter Storeの混在管理はポリシー設計が複雑になり、すべての要件を単一サービスで満たすという前提条件にも反する。

解説