ある企業のアプリケーションが Amazon RDS の認証情報を使用しています。セキュリティ監査を受け、「認証情報を 30 日ごとに自動ローテーション」「ローテーション中もアプリケーションのダウンタイムなし」「すべての認

Question

ある企業のアプリケーションが Amazon RDS の認証情報を使用しています。セキュリティ監査を受け、「認証情報を 30 日ごとに自動ローテーション」「ローテーション中もアプリケーションのダウンタイムなし」「すべての認証情報アクセスを監査ログに記録」の 3 要件を同時に満たすマネージドソリューションを求めています。最も適切な設計はどれですか。

Accepted Answer

正解: AWS Secrets Manager に RDS 認証情報を格納し、組み込みの Lambda ローテーション関数で 30 日周期の自動更新と CloudTrail によるアクセス記録を実現する。Secrets Manager はマネージドローテーション（組み込み Lambda）で無停止の二段階ローテーションをネイティブサポートし、API コールは CloudTrail に自動記録されるため 3 要件すべてを満たす。

Answer

SSM Parameter Store（SecureString）に認証情報を格納し、EventBridge Scheduler で 30 日ごとにパスワード変更 Lambda を起動してアクセスログを CloudWatch に出力する — SSM Parameter Store は自動ローテーション機能を内蔵せず、カスタム実装ではダウンタイムなし要件を保証するのが困難である。

Answer

RDS の自動マイナーバージョンアップ機能を活用し、認証情報変更を Secrets Manager でラップして 30 日周期で Lambda がプルする構成にする — RDS の自動マイナーバージョンアップは認証情報のローテーション機能ではなく、この要件に適用できるサービス機能ではない。

Answer

HashiCorp Vault を EC2 クラスター上に自己ホストし、RDS 用の動的シークレットを 30 日 TTL で発行・失効させる仕組みとアクセスログを S3 に保存する — HashiCorp Vault の自己ホストは EC2 クラスターの管理運用負荷が高く、「マネージドソリューション」という要件を満たさない。

解説