AWS Workload Credentials ProviderがLinux/Windows向けにワンクリックインストール対応

AWS Secrets Managerが、AWS Workload Credentials Provider (AWCP) のAmazon Linux 2023 (x86_64/ARM64) およびWindows Server (x64) 向けに、プリビルド済みの署名バイナリを提供開始。従来の6ステップのビルドプロセスが単一コマンドのインストールに簡略化された。AWCPはシークレットをローカルにキャッシュし、アプリケーションがローカルHTTPエンドポイント経由で取得可能。また、AWS Certificate Manager (ACM) からの証明書取得もサポート。利用料金はSecrets Managerの標準料金のみで、AWS Secrets Managerが利用可能な全リージョンで提供される。

解決される課題

従来のAWCP導入では、GitHubリポジトリのクローンからRustによるビルド、設定ファイルの配置まで6ステップ以上の手順が必要だった。特にRustの専門知識やビルド環境の整備がネックで、導入ハードルが高かった。

リージョン状況（日本）

最新の裏取りにより、東京（ap-northeast-1）と大阪（ap-northeast-3）の両リージョンで利用可能。公式発表通り、AWS Secrets Managerが提供される全リージョンが対象である。

実務上のメリット

• セキュリティ: 署名済みバイナリの提供により、改ざんリスクを低減。インメモリキャッシュでシークレット漏洩のリスクも抑制。
• 運用効率: Amazon Linuxリポジトリからのyum installやWindows向けの単一コマンドで導入完了。CI/CDパイプラインへの組み込みも容易。
• コスト: Secrets Managerの標準料金のみで追加費用なし。

最初に試すこと

1. Amazon Linux 2023の場合：

   sudo yum install aws-workload-credentials-provider
   

2. Windows Serverの場合：公開ダウンロードURLから署名バイナリを取得し、実行。
3. 動作確認: ローカルHTTPエンドポイント（デフォルト: http://localhost:8080）にアクセスし、シークレット取得をテスト。

注意点

• IAM権限: AWCPを実行するEC2インスタンスロールに、Secrets ManagerとACMへのアクセス権限（secretsmanager:GetSecretValue、acm:GetCertificateなど）を付与すること。
• キャッシュ設定: インメモリキャッシュの有効期限（TTL）を調整し、シークレットのローテーションポリシーと整合させる。

参考ドキュメント

• AWS Workload Credentials Provider ドキュメント
• ACM 自動化ドキュメント
• GitHubリポジトリ