解説

AWS Secrets Manager はデータベース認証情報などのシークレットを一元管理し、定期的な自動ローテーションをネイティブでサポートするサービスです。RDS for MySQL 向けにはマネージドローテーション関数を設定するだけで、旧認証情報と新認証情報を並行して有効にしながらパスワードを切り替えるゼロダウンタイムローテーションが実現できます。アプリケーションが Secrets Manager API（GetSecretValue）から認証情報を取得するよう変更することで、ローテーション後の新しいパスワードを自動的に使用できます。 選択肢AのSSM Parameter Storeは認証情報の安全な保存（SecureString）はできるが、自動ローテーション機能がネイティブには存在せず、90日ごとのローテーションを実現するには別途 Lambda や EventBridge スケジュールの構築が必要になる。 選択肢CのIAMデータベース認証はパスワード不要で認証情報のローテーション自体が不要になるが、RDS パラメータグループの変更・IAM ポリシー設定・接続ライブラリの変更など改修範囲が Secrets Manager より大きくなる。 選択肢DのAmazon RDS 自動バックアップはポイントインタイムリカバリのためのスナップショット機能であり、認証情報の自動ローテーション管理とは無関係。接続先の切り替え時にダウンタイムも発生する。