はじめに
こんにちは、nayaaaaです。
manage_master_user_passwordを設定することでAWS Secrets Managerでパスワードやローテーションの設定を自動で設定してくれるということで備忘録として書いてみました。
AWS Secrets Manager連携と自動ローテーション設定
Terraformでrdsインスタンスやクラスタをデプロイする際に、master_passwordもしくは、passwordにパスワード情報を入れることで、デプロイ後のrdsインスタンスへ接続する際のパスワードを設定します。
これらのパスワード情報について、今までは.tfvarsで管理しておりました。
そこで、AWS Secrets Managerを使用することによって、AWS側で管理された状態のパスワード情報を使用し、ログインすることが可能になりました。
しかし、その際は、AWS Secrets Manager用の設定も必要となります。
Terraformでは、manage_master_user_passwordを使用すると、AWS Secrets Managerのsercretの作成や特定の期間でパスワードの更新を行うローテーションの設定も自動で行ってくれます。
ローテーション機能には以下の２つがあります。
■公式ドキュメントから抜粋
・マネージドローテーション – ほとんどのマネージドシークレットでは、マネージドローテーションを使用します。このローテーションでは、サービスによってローテーションが構成および管理されます。マネージドローテーションは Lambda 関数を使用しません。
・Lambda 関数によるローテーション – その他のタイプのシークレットの場合、Secrets Manager ローテーションは Lambda 関数を使用して、シークレットとデータベースまたはサービスを更新します
manage_master_user_passwordを使用すると自動でこのマネージドローテーションの設定となります。
TerraformではAWS Secrets Managerの設定をする際、このmanage_master_user_passwordを使用しない場合は、個別でシークレットの作成とローテーションなどの設定が必要になります。
manage_master_user_passwordを試してみる
※vpcの設定やサブネットは省略しております。
resource "aws_rds_cluster" "aurora" {
cluster_identifier = "test-aurora-cluster"
engine = "aurora-mysql"
engine_version = "8.4.mysql_aurora.3.09.0"
master_username = "test"
manage_master_user_password = true
database_name = "test-db"
skip_final_snapshot = true
vpc_security_group_ids = [aws_security_group.aurora_sg.id]
db_subnet_group_name = aws_db_subnet_group.aurora_subnet_group.name
}
- 以下を実行
% terraform plan
% terraform apply
ローテーションの設定も行われており、「すぐにシークレットのローテーションさせる」で問題なくパスワードの更新ができました。
また、４枚目の画像からマネージドローテーションとして設定されていることがわかりました。
念のため確認👇（シークレットの作成のみの場合）
resource "aws_secretsmanager_secret" "secret" {
description = "テスト"
kms_key_id = var.kms_key_id
name = "test"
recovery_window_in_days = 30
tags = {
Environment = "test"
}
}
resource "aws_secretsmanager_secret_version" "secret" {
secret_id = aws_secretsmanager_secret.secret.id
secret_string = jsonencode({
username = "nayanaya"
password = "password123"
})
}
- 以下を実行
% terraform plan
% terraform apply
やはりシークレットの設定のみでは、画像の通りローテーションの設定はされないですね。
以下のソースコードでもローテーションの設定（lambda)は別で設定していますね(125行目〜）
まとめ
manage_master_user_passwordを使用することで、以下のことがわかりました。
- AWSが自動的にシークレット作成
- マネージドローテーションを有効化
- Lambdaは使用しない
今回は、簡単な確認のみとなりましたが、時間がある時にローテーションやLambdaの設定も試してみたいと思います。
以上、ありがとうございました！