AWS インフラストラクチャを Terraform で管理する際、データベースのパスワードや API キーなどの機密情報を安全に扱うことは非常に重要です。今回は、AWS Systems Manager Parameter Store を使用して機密情報を SecureString として保存し、それを Terraform で取得および復号化する方法を紹介します。

前提

AWSアカウントを持っている
AWS CLIをインストールしている
terraform をインストールしている

1. Parameter Store に機密情報を SecureString として保存

まず、AWS CLI を使用して Parameter Store に機密情報を SecureString として保存します。以下のコマンドを実行してください：

aws ssm put-parameter --name "/app/database/password" --type "SecureString" --value "your-secret-password" --description "Database password for the application"

your-secret-password を実際の機密情報（この例ではデータベースパスワード）に置き換えてください。

2. Terraform で Parameter Store から SecureString を取得し復号化

次に、Terraform の設定ファイル（例：main.tf）に以下のコードを追加して、Parameter Store から機密情報を取得し、復号化します：

data "aws_ssm_parameter" "db_password" {
  name = "/app/database/password"
  with_decryption = true
}

locals {
  database_password = data.aws_ssm_parameter.db_password.value
}

ここでの重要なポイントは with_decryption = true の設定です。これにより、Terraform は自動的に SecureString パラメータを復号化します。

3. 取得した値の使用例

復号化された機密情報を使用する場面で、以下のように local.database_password を参照できます：

resource "aws_db_instance" "example" {
  engine         = "mysql"
  engine_version = "5.7"
  instance_class = "db.t3.micro"
  username       = "admin"
  password       = local.database_password

  # その他の設定...
}

なぜ Secrets Manager を使わないのか？

AWS Secrets Manager も機密情報管理のための優れたサービスですが、Parameter Store にはいくつかの利点があります：

コスト効率：
Parameter Store は基本的に無料で使用できます（高度なパラメータには少額の料金がかかります）。一方、Secrets Manager はストアされている秘密ごとに料金が発生します。
単純さ：
Parameter Store はより単純で、学習曲線が緩やかです。基本的な機密情報の保存と取得には十分な機能を提供しています。
統合の容易さ：
多くの AWS サービスが Parameter Store と直接統合されており、設定が簡単です。
汎用性：
Parameter Store は機密情報だけでなく、設定データなど様々な種類のデータを保存できます。これにより、一つのサービスで多様なデータ管理ニーズに対応できます。
既存のインフラとの互換性：
多くの既存のインフラストラクチャやツールが Parameter Store をサポートしており、移行が容易です。

ただし、自動ローテーションや詳細なバージョニングが必要な場合は、Secrets Manager の使用を検討する価値があります。プロジェクトの要件、予算、既存のインフラストラクチャに基づいて、適切なサービスを選択することが重要です。