AWS Secrets Manager交代ユーザーローテーション

2023/03/23

AWS Secrets Managerの交代ユーザーローテーションを確認してみました。

確認したユーザーガイドのページはこちらAWS Secrets Manager に交代ユーザーローテーションを設定するです。

検証準備

まずは検証用のRDS MySQLインスタンスをAWS Secrets ManagerのローテーションでLambda関数の管理が必要なくなりました記載の方法でSecrets Managerと同時に作成しました。

操作用のEC2インスタンスにセッションマネージャで接続して、MySQLコマンドでデータベースに接続しました。
データベースユーザーのパスワードはSecrets Managerのコンソールで「シークレットの値を取得する」から取得しました。

mysql -h database-1.c3gngubysyz7.us-east-1.rds.amazonaws.com -u admin -p

1 2	mysql -h database-1.c3gngubysyz7.us-east-1.rds.amazonaws.com -u admin -p

ユーザーガイドのとおり、データベースと1人目のユーザーを作りました。

CREATE DATABASE myDB;
CREATE USER 'appuser'@'%' IDENTIFIED BY 'dbpassword';
GRANT ALL PRIVILEGES ON myDB . * TO 'appuser'@'%';

CREATE DATABASE myDB;

CREATE USER 'appuser'@'%' IDENTIFIED BY 'dbpassword';

GRANT ALL PRIVILEGES ON myDB . * TO 'appuser'@'%';

この時点でユーザーを確認すると次でした。

select user from mysql.user;
+------------------+
| user             |
+------------------+
| admin            |
| appuser          |
| mysql.infoschema |
| mysql.session    |
| mysql.sys        |
| rdsadmin         |
+------------------+
6 rows in set (0.00 sec)

select user from mysql.user;

+------------------+

| user |

+------------------+

| admin |

| appuser |

| mysql.infoschema |

| mysql.session |

| mysql.sys |

| rdsadmin |

+------------------+

6 rows in set (0.00 sec)

VPCにはAWS Secrets ManagerとRDSのVPCエンドポイントを作成済です。
今のSecrets ManagerのLambda関数ってRDSのエンドポイントも必要なんですね。

AWS Secrets Managerシークレットの作成

新しいシークレットを作成して、ユーザーは先ほど作ったユーザーとデータベースインスタンスを選択しました。

自動ローテーションを有効にして、「個別の認証情報を使用してこのシークレットをローテーション」でRDSマスターユーザーのシークレットを選択しました。

新規で作成されたLambda関数のセキュリティグループをRDSインスタンスの送信元で許可されているセキュリティグループに変更しました。

[すぐにローテーションを実行させる]をクリックしました。

ローテーションが完了してから(Lambda関数の終了をCloudWatchで確認)「シークレットの値を取得する」から取得してみると、appuser_cloneというユーザーになっていました。

select user from mysql.user;
+------------------+
| user             |
+------------------+
| admin            |
| appuser          |
| appuser_clone    |
| mysql.infoschema |
| mysql.session    |
| mysql.sys        |
| rdsadmin         |
+------------------+
7 rows in set (0.00 sec)