Servisphere
AWS Secrets Manager のアイコン（AWS Architecture Icons）

AWS Secrets Manager

パスワード・鍵の保管

パスワード、API key、DB 接続情報を暗号化して保存します。パスワードを定期的に自動ローテーションできます。

  • コスト$ 安い
  • 難易度●●●●●
  • 未使用でも課金？はい
  • AWS マネージド
  • 出題試験SAA · DVA · SOA

範囲: Regional

Secrets Manager をマップで開く →
たとえるなら毎月自動で暗証番号が変わるパスワード金庫のようなものです。

Secrets Manager はシステムのどこにある？

Secrets Manager を呼び出す

Secrets Manager

Secrets Manager が呼び出す

マップで全体を見る →

具体例でステップごとに

  1. データベースのパスワードが .env ファイルにあり、一度 GitHub に漏れたことがあります。
  2. データベースの認証情報を Secrets Manager に保存し、KMS で暗号化します。
  3. アプリの IAM ロールはそのシークレットだけを読めるようにし、アプリはファイルではなく起動時にパスワードを取得します。
  4. 30 日ごとの自動ローテーションを有効にすると、Secrets Manager が RDS のパスワードを変更し、シークレットも更新します。
  5. アプリは常に最新版を読むので、パスワードが変わっても止まりません。

▶ シナリオ「誰が何を守るか」をマップで見る

いつ使う？

✓ 使うべき場面

コードや環境変数にパスワードを置きたくない場合。

✗ 避けるべき場面

機密でない設定で、安く済ませたい → Parameter Store（Systems Manager）。

よくある使い方

  • database のパスワードを保存し自動ローテーション
  • サードパーティの API key を保存
  • アカウント間で secret を共有

Secrets Manager・Systems Manager・KMS の違い

Secrets ManagerSystems ManagerKMS
保存するものシークレット：パスワード、API キー設定値と簡単なシークレット（Parameter Store）暗号化キー
自動ローテーションあり、RDS/Aurora に標準対応なし鍵のローテーション（パスワードではない）
他リージョンへのレプリケーションありなしマルチリージョンキー
課金シークレットごとの月額 + 呼び出し数標準枠は無料キーごとの月額 + 呼び出し数

料金はいくら？

料金の例secret 20 個 ≈ $8/月。
  • 課金方式: $0.40/secret/月 + $0.05/10,000 API コール。
  • 無料枠: 新しい secret は 30 日間無料トライアル。
⚠️ 料金の落とし穴

アプリケーション内でキャッシュせず request ごとに API を呼び出す。使われなくなった secret も課金される。機密でない設定は Parameter Store（無料）に置くべきです。

料金は us-east-1 の参考値（2026年10月14日 更新）で、変更されている可能性があります。必ず AWS の料金ページでご確認ください。 AWS 公式の料金ページ ↗

💡 試験のコツ

「データベースのパスワードを自動ローテーション」「運用負荷を最小に」なら Secrets Manager、設定値だけを安く保存するなら Parameter Store です。「パスワードの保存」に KMS を選ばないでください。KMS は暗号化キーを保持するもので、DB のパスワードはローテーションしません。

本番の試験問題に挑戦

AWS 認定試験は英語でも受験できるため、問題文は英語のまま掲載しています。

1A company uses Amazon RDS for PostgreSQL databases for its data tier. The company must implement password rotation for the databases. Which solution meets this requirement with the LEAST operational overhead?

  1. AStore the password in AWS Secrets Manager. Enable automatic rotation on the secret.
  2. BStore the password in AWS Systems Manager Parameter Store. Enable automatic rotation on the parameter.
  3. CStore the password in AWS Systems Manager Parameter Store. Write an AWS Lambda function that rotates the password.
  4. DStore the password in AWS Key Management Service (AWS KMS). Enable automatic rotation on the customer master key (CMK).
答えを見る

正解: A

Secrets Manager には RDS 向けのパスワード自動ローテーション機能が組み込まれていて、有効にするだけです。Parameter Store は自動ローテーションせず、KMS キーをローテーションしても DB のパスワードは変わりません。

2A company has a custom application with embedded credentials that retrieves information from an Amazon RDS MySQL DB instance. Management says the application must be made more secure with the least amount of programming effort. What should a solutions architect do to meet these requirements?

  1. AUse AWS Key Management Service (AWS KMS) customer master keys (CMKs) to create keys. Configure the application to load the database credentials from AWS KMS. Enable automatic key rotation.
  2. BCreate credentials on the RDS for MySQL database for the application user and store the credentials in AWS Secrets Manager. Configure the application to load the database credentials from Secrets Manager. Create an AWS Lambda function that rotates the credentials in Secrets Manager.
  3. CCreate credentials on the RDS for MySQL database for the application user and store the credentials in AWS Secrets Manager. Configure the application to load the database credentials from Secrets Manager. Set up a credentials rotation schedule for the application user in the RDS for MySQL database using Secrets Manager.
  4. DCreate credentials on the RDS for MySQL database for the application user and store the credentials in AWS Systems Manager Parameter Store. Configure the application to load the database credentials from Parameter Store. Set up a credentials rotation schedule for the application user in the RDS for MySQL database using Parameter Store.
答えを見る

正解: C

認証情報を Secrets Manager に保存し、アプリはコードに埋め込む代わりにそこから読み込みます。ローテーションは自作の Lambda ではなく、RDS 向けの組み込み機能でスケジュールします。

Servisphere で 700 問以上を練習する →

よくある質問

自動ローテーションはどのように動きますか？

Secrets Manager がスケジュールに従って Lambda 関数を呼び出し、新しいパスワードを作成してデータベースに反映し、新しいバージョンとして保存します。RDS、Aurora、Redshift、DocumentDB では用意されたテンプレートや AWS 管理のローテーションがあるため、コードはほとんど書く必要がありません。

Secrets Manager の料金はどのように決まりますか？

シークレットごとの月額料金に加え、API 呼び出しごとに料金がかかります。秘密でない設定値を大量にここへ保存すると無駄な費用がかかるので、それらは Parameter Store に置きましょう。

AWS 認定試験では Secrets Manager について何が問われますか？

パスワードをコードや平文の環境変数に置かないこと、データベースのパスワードの自動ローテーション、コストと機能に基づく Secrets Manager と Parameter Store の選択、KMS による暗号化などです。

関連サービス

Secrets Manager をマップで開く →