あるシステム運用チームは、Amazon EC2 インスタンスから Amazon RDS for MySQL に接続する際の認証情報を AWS Systems Manager Parameter Store（SecureS

Question

あるシステム運用チームは、Amazon EC2 インスタンスから Amazon RDS for MySQL に接続する際の認証情報を AWS Systems Manager Parameter Store（SecureString）に保存しています。セキュリティ監査で「データベースパスワードが 1 年以上更新されていない」という指摘を受けました。チームはパスワードのローテーションを自動化し、ローテーション中もアプリケーションを停止させたくないと考えています。最も推奨されるアプローチはどれですか？

Accepted Answer

正解: 認証情報を AWS Secrets Manager に移行し、RDS 向け組み込みローテーション Lambda を設定して自動ローテーションを有効化する。デュアルユーザー方式でローテーション中も無停止で稼働する。選択肢BのAWS Secrets Manager は Amazon RDS for MySQL に対応した組み込みのローテーション Lambda テンプレートを提供しており、デュアルユーザー方式（2 つのデータベースユーザーを交互に更新してローテーション中も接続を維持する方式）でのパスワード自動ローテーションをネイティブにサポートします。アプリケーション側の変更は Secrets Manager の GetSecretValue を呼び出す形への修正のみで済みます。

AWS Systems Manager Parameter Store には RDS 向けの組み込みローテーション機能がないため、自動・無停止ローテーションを Parameter Store で実現するには独自実装が必要です。

選択肢AのAmazon EventBridge Scheduler + Lambda はパスワード変更と Parameter Store 更新は自動化できますが、新パスワードを反映させるために EC2 の再起動が必要となり、ローテーション中のアプリケーション停止を回避できない。

選択肢CのIAM データベース認証は長期認証情報が不要になる優れたセキュリティモデルだが、アプリケーションコードを AWS SDK で認証トークンを生成する形に大幅に書き換える必要があり、変更コストが大きい。

選択肢DのAWS Systems Manager Automation ランブックで定期ローテーションを自動化できるが、Parameter Store はデュアルユーザー方式に対応しておらず、古いパスワードが無効化された瞬間にアプリの接続が切断されるリスクを排除できない。

Answer

Amazon EventBridge Scheduler で 30 日ごとに Lambda をトリガーし、RDS パスワード更新と Parameter Store の値更新後、EC2 インスタンスを順次再起動して新しい認証情報を読み込ませる — EventBridge + Lambda でパスワード変更と Parameter Store 更新は自動化できるが、アプリケーションに新しい認証情報を反映させるために EC2 を再起動する必要があり、ローテーション中のアプリケーション停止という課題を解決できない。

Answer

RDS で IAM データベース認証を有効化し、AWS SDK でアプリケーションコードを書き換えて認証トークンを都度生成する方式に移行する。Parameter Store への認証情報保存は廃止する — IAM データベース認証はパスワード管理を不要にするセキュリティ上優れた方法だが、アプリケーションコードを AWS SDK で認証トークンを取得する形に大幅に書き換える必要がある。既存システムを最小コストで改善する観点では変更負荷が大きい。

Answer

AWS Systems Manager Automation ランブックを作成して EventBridge でスケジュール実行し、RDS パスワードと Parameter Store の値を更新後に SNS で完了通知を受け取る — SSM Automation ランブックで定期的なパスワード変更は自動化できるが、Parameter Store は RDS のデュアルユーザー方式ローテーションに対応しておらず、古いパスワードが無効化された瞬間にアプリの接続が切れるリスクを排除できない。

解説

解説