Spring Boot × AWS Secrets Manager：セキュアな設定管理の実践ガイド

はじめに

アプリケーションの設定情報（例：データベース接続情報）をプロパティファイルや環境変数に直接記載することは、セキュリティリスクを伴います。

本記事では、Spring Bootアプリケーションから AWS Secrets Manager を利用して、安全にデータベースなどの機密情報を取得し、システムプロパティに反映させる方法を解説します。

使用技術・ライブラリ

Spring Boot 3.3.4
Java 21
AWS SDK v1 (Secrets Manager)
AWS X-Ray（オプション、トレース用）

プロジェクト構成とポイント

Demo10Application.java でアプリケーション起動前に AWS Secrets Manager から秘密情報を取得し、Spring Bootに必要な設定情報（例：spring.datasource.url）を動的に設定します。

Secrets Managerに登録する値の例（JSON形式）：

{
  "DB_ENDPOINT": "your-db.cluster-xyz.ap-northeast-1.rds.amazonaws.com:5432",
  "DB_USERNAME": "postgres",
  "DB_PASSWORD": "yourpassword",
  "DB_PLATFORM": "postgresql",
  "DB_NAME": "yourdbname",
  "UPLOAD_DIRECTORY": "/data/uploads",
  "SECRET_KEY": "supersecretkey123"
}

処理フローの解説

main()内でSecretsの読み込みをトリガー

public static void main(String[] args) {
    boolean configLoaded = loadConfiguration();
    if (!configLoaded) {
        log.severe("設定の読み込みに失敗しました。アプリケーションを終了します。");
        System.exit(1);
    }
    SpringApplication.run(Demo10Application.class, args);
}

起動前に設定取得が失敗した場合は、安全のためアプリケーションを終了します。

Secrets Managerから取得する処理

AWSSecretsManager client = AWSSecretsManagerClientBuilder.standard()
    .withRegion(region)
    .build();

GetSecretValueRequest postgresRequest = new GetSecretValueRequest()
    .withSecretId(postgresSecretArn);

GetSecretValueResult postgresResult = client.getSecretValue(postgresRequest);
リージョンは ap-northeast-1（東京リージョン）で設定。

SecretsのJSONを解析し、必要なプロパティを設定

JsonNode postgresSecretJson = objectMapper.readTree(result.getSecretString());
System.setProperty("DB_ENDPOINT", postgresSecretJson.get("DB_ENDPOINT").asText());
System.setProperty("spring.datasource.url", "jdbc:postgresql://" + dbEndpoint + "/" + dbName);
ここでSpring Bootが使用する spring.datasource.url なども動的に設定。

設定ファイル（build.gradle）に必要な依存関係

implementation 'com.amazonaws:aws-java-sdk-secretsmanager:1.12.465'
implementation 'com.amazonaws:aws-xray-recorder-sdk-spring:2.15.0'
implementation 'org.postgresql:postgresql'
Secrets Manager SDKとX-Ray（任意）を含めましょう。

実行時の注意点

IAMロールが secretsmanager:GetSecretValue 権限を持っていること

AWS_REGION 環境変数 or System.setProperty("aws.region", "ap-northeast-1") の設定が必要

ローカル実行時は ~/.aws/credentials に適切なプロファイルが必要

まとめ

AWS Secrets Managerを利用することで、機密情報のハードコーディングを避け、セキュアでスケーラブルな構成管理が可能になります。