ラボ概要
このラボでは、RDS for PostgreSQL のデータベース認証情報を AWS Secrets Manager に安全に保存し、Secrets Manager が自動デプロイする Lambda ローテーション関数を使って認証情報を自動ローテーション（定期的なパスワード更新）する方法を学びます。ハードコードされたパスワードを排除し、運用負荷ゼロで認証情報を更新し続ける仕組みを手を動かして理解します。
学習目標
- RDS for PostgreSQL インスタンスを作成し、その認証情報を Secrets Manager のシークレットとして保存する
- Secrets Manager の「ローテーションを編集」ウィザードで、Lambda ローテーション関数を自動デプロイする
- ローテーション Lambda が DB と Secrets Manager の両方へ到達できるよう、セキュリティグループと VPC エンドポイントを構成する
- ローテーションを手動でトリガーし、シークレットのバージョン（
AWSCURRENT/AWSPENDING/AWSPREVIOUS）が更新されることを確認する - アプリケーションがパスワードをハードコードせず、シークレット名だけで最新の認証情報を取得する考え方を理解する
前提
- 学習者は
cloud_userロールでマネジメントコンソールにサインイン済みです。 - このラボは既定 VPC（default VPC）の中で完結します。新しい VPC は作りません。
- ローテーションを有効にすると、Secrets Manager が Lambda 実行ロール（IAM ロール）を自動作成します。
cloud_userは IAM ロール／ポリシーの作成権限を持つため、この操作は問題なく実行できます。
ラボの構成
- 1既定 VPC とサブネットを確認する
- 2RDS 用のセキュリティグループを作成する
- 3RDS for PostgreSQL インスタンスを作成する
- 4Secrets Manager にシークレットを作成する
- 5Secrets Manager 用の VPC エンドポイントを作成する
- 6シークレットの自動ローテーションを有効にする
- 7ローテーション Lambda のネットワークを構成する
- 8ローテーションを実行して確認する
- 9動作確認
- 10完了チェックリスト
- 11後片付け
詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。
構成図
参考リソース
参考リンク
- AWS Secrets Manager ユーザーガイド — シークレットの保存と自動ローテーションの仕組みを解説
- Secrets Manager シークレットのローテーション — Lambda ローテーション関数と AWSCURRENT/AWSPENDING/AWSPREVIOUS の概念
- Amazon RDS for PostgreSQL — マネージド PostgreSQL データベースの製品ページ
- AWS Lambda デベロッパーガイド — VPC 接続を含む Lambda 関数の構成方法
- インターフェイス VPC エンドポイント (AWS PrivateLink) — VPC 内から AWS サービスへインターネット経由せず到達する方法
- AWS KMS デベロッパーガイド — aws/secretsmanager マネージドキーによる暗号化の基礎