解説

AWS Secrets ManagerはRDS・Redshift・DocumentDBなどのデータベース認証情報の自動ローテーションをネイティブにサポートしています。ローテーションは内部でLambda関数を使用し、「二重書き込み（Double-write）」方式で古い認証情報と新しい認証情報を一時的に並存させることでダウンタイムなしにローテーションします。Lambda関数はSDKで毎回最新シークレットを取得するため、認証情報の変更を意識せずに動作します。バージョン管理・CloudTrail連携・アクセスログも提供されます。 選択肢BのSSM Parameter Storeはシークレットの保存はできますが、RDS認証情報の自動ローテーション機能は内蔵されていません。ローテーション処理を自前で実装する必要があり運用負荷が高くなります。 選択肢CのLambda環境変数への格納は、ローテーション時に関数の再デプロイが必要となりダウンタイムリスクがあり、スクリプト管理の運用負荷も高くなります。 選択肢DのS3＋KMS方式はローテーション中のダウンタイム防止やバージョン管理など、Secrets Managerが提供する機能を全て再実装する必要があり、開発・運用コストが著しく高くなります。