KMS + Secrets Manager ハンズオン

「KMS（Key Management Service）」→「キーの作成」 をクリックします。

「キー管理者」に自分の IAM ユーザー / ロールを、「このキーを使用できる AWS アカウントとユーザー」に利用するロールを指定します。これが キーポリシー として保存されます。

作成後、キーの詳細「キーのローテーション」タブで 「自動キーローテーション」 を有効にします（年 1 回、AWS が自動でキーマテリアルを更新。アプリ側の変更は不要）。

S3 バケット handson-kms-xxxx を作成し、「プロパティ」→「デフォルトの暗号化」→「編集」で以下を設定します。

レスポンスに "ServerSideEncryption": "aws:kms" と KMS キー ARN が表示されれば、KMS で暗号化されています。

オブジェクトをダウンロードすると、KMS の Decrypt API が呼ばれます。「CloudTrail」→「イベント履歴」 でイベント名 Decrypt を検索すると、誰がいつ復号したかが記録されています。

「Secrets Manager」→「新しいシークレットを保存する」 をクリックします。

キー / 値のペアで以下を入力します。

{
  "username": "appuser",
  "password": "InitialP@ssw0rd!",
  "host": "handson-rds.xxxx.ap-northeast-1.rds.amazonaws.com",
  "dbname": "handson_db"
}

「次へ」を進めて保存します（ローテーションは次のステップで設定するため、まずは無効）。

保存した JSON が復号されて返ってくれば成功です（裏で KMS による復号が行われています）。

handson/db-credentials を開き、「ローテーション」タブ →「ローテーションを編集」をクリックします。

RDS の認証情報タイプなら、AWS 提供のローテーションテンプレート Lambda が自動作成されます。その他のシークレットの場合は雛形 Lambda が作られます。

「ローテーションを今すぐ実行」をクリックします。ローテーション Lambda が新しいパスワードを生成し、シークレットの新バージョン（AWSCURRENT）として保存します。

CloudShell で以下の Python を実行します。

import boto3, json

session = boto3.session.Session()
client = session.client("secretsmanager", region_name="ap-northeast-1")

resp = client.get_secret_value(SecretId="handson/db-credentials")
secret = json.loads(resp["SecretString"])

print("user:", secret["username"])
print("host:", secret["host"])
# このあと secret["password"] で DB 接続する（パスワードはコードに書かない）

EC2 / Lambda / ECS のロールに、特定シークレットだけ読める権限を付けます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:ap-northeast-1:<AccountId>:secret:handson/db-credentials-*"
    },
    {
      "Effect": "Allow",
      "Action": "kms:Decrypt",
      "Resource": "<handson-key の ARN>"
    }
  ]
}

Secrets Manager だけでなく、暗号化に使った KMS キーの kms:Decrypt も必要な点に注意します。