解説

AWS Secrets ManagerはRDS（MySQL・PostgreSQL・Oracle等）向けのマネージドローテーションを標準でサポートしています。ローテーションを有効化すると指定間隔（90日など）でLambda関数が自動実行され、RDSのパスワード変更とシークレットの更新が行われます。ローテーション中はAWSCURRENT（現在の認証情報）とAWSPENDING（新認証情報）の二重バージョンで管理されるため、アプリケーションはダウンタイムなしで動作を継続できます。Parameter Storeから移行する際のアプリケーション変更はSDKの呼び出し先変更のみで最小限に抑えられます。 選択肢AのSSM Parameter Storeは自動ローテーション機能を持たないため、EventBridgeとLambdaでカスタム実装が必要になり、二重バージョン管理も自前で実装しなければならず追加実装が大きい。 選択肢CのRDS マスターパスワードリセット機能はEventBridgeから直接トリガーするAPIが存在せず、またEC2インスタンスメタデータはパスワードを保存する機能を持たないため実現不可能な構成である。 選択肢DのRDS IAMデータベース認証はパスワード管理を不要にする有効なアプローチだが、アプリケーションの接続方式を認証トークン取得に全面変更する必要があり、追加実装を最小限という要件に合わない。