AWS Secrets Manager は保管中のシークレットをお客様の所有する暗号化キーで暗号化し、AWS Key Management Service (AWS KMS) に保管します。 

• シークレットを取得すると、Secrets Manager はシークレットを復号し、これを安全に TLS 上でお客様のローカル環境に送信します。
• Secrets Manager は AWS Identity and Access Management (IAM) と統合して、きめ細かい IAM ポリシーとリソースベースのポリシーを使用してシークレットへのアクセスを制御します。

AWS Secrets Manager では、Secrets Manager コンソール、AWS SDK、または AWS CLI を用いてスケジュールに従い、またはオンデマンドでシークレットを更新できます。 

• Secrets Manager は、Amazon RDS と Amazon DocumentDB でホストされているデータベース、および Amazon Redshift でホストされているクラスターの各認証情報のローテーションをネイティブにサポートします。
• サンプル Lambda 関数を変更することで、Secrets Manager を拡張して、他の AWS または 3P サービスで使用されるシークレットをローテーションできます。

シークレットのセキュリティを最優先事項として、アプリケーションを構築します。

• Secrets Manager は、一般的なプログラミング言語から Secrets Manager API を呼び出すためのコードサンプルを提供します。シークレットを取得する API には、次の 2 種類があります。
  • 名前または ARN で 1 つのシークレットを取得します。
  • 名前または ARN のリスト、またはタグなどのフィルター条件を指定して、シークレットのグループを取得します。
• Amazon Virtual Private Cloud (VPC) エンドポイントを、お使いの VPC と AWS ネットワーク内の Secrets Manager との間のトラフィックを維持するように設定します。
• Secrets Manager のクライアント側のキャッシュライブラリを使用して、可用性を向上させ、シークレットの取得中のレイテンシーを短縮することもできます。

AWS Secrets Manager を使用して、コンプライアンス要件を満たすことができます。

• AWS Config ルールを使用すると、組織のセキュリティとコンプライアンスの要件に従ってシークレットが設定されていることを検証するのに役立ちます。
• 米国国防総省クラウドコンピューティングセキュリティ要件ガイド (DoD CC SRG IL2、DoD CC SRG IL4、および DoD CC SRG IL5)、Federal Risk and Authorization Management Program (FedRAMP)、米国の医療保険の相互運用性と説明責任に関する法律 (HIPAA)、Information Security Registered Assessors Program (IRAP)、Outsourced Service Provider’s Audit Report (OSPAR)、ISO/IEC 27001、ISO/IEC 27017、ISO/IEC 27018、ISO 9001、Payment Card Industry Data Security Standard (PCI-DSS)、System and Organization Control (SOC) の対象となるワークロードのシークレットを管理します。
• AWS のコンプライアンスプログラムとレポートの詳細については、「AWS Artifact」をご覧ください。