AWS Secrets Manager が Amazon EventBridge へのシークレット更新通知をネイティブサポート

AWS Secrets Manager は、シークレットの値が変更された際に Amazon EventBridge へ直接イベントをパブリッシュする機能をリリースしました。これにより、シークレットの更新（PutSecretValue、UpdateSecretValue、ローテーション成功など）を検知して、リアルタイムでイベント駆動型ワークフローを構築することが可能になります。本機能は追加の設定やオプトインなしで、デフォルトのイベントバスへ自動的に通知されます。追加料金なしで、AWS Secrets Manager が提供されているすべてのリージョンで利用可能です。

🛠️ エンジニアへの実務的なアドバイス

解決される課題とメリット

これまでは、シークレットの変更を検知するために CloudTrail の API イベント（PutSecretValue や UpdateSecretValue など）を EventBridge で解析する必要があり、フィルタリングの複雑さや遅延が検知の確知性が課題でした。今回のアップデートにより、Secrets Manager が直接 EventBridge へ通知を行うため、シークレット更新の検知がよりシンプルかつ確実になります。

🇯🇵 日本国内リージョンの状況

最新のリサーチ結果に基づくと、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) において、本機能はすでに提供されています。国内の運用環境でも即座に活用可能です。

💡 運用上のポイント

• キャッシュの即時更新: アプリケーション側で認証情報をキャッシュしている場合、EventBridge ルールから AWS Lambda を起動して、キャッシュを強制的にリフレッシュする仕組みを構築できます。これにより、タスクの待機時間を最小限に抑えられます。
• イベント駆動型コンプライアンス: シークレットのローテーション成功イベントをトリガーに、コンプライアンスレポートの自動更新や、監査ログの整理を自動化できます。
• コスト: 追加料金なしで利用可能です。既存のイベントバスを利用するため、タイムリーな通知を受け取ることが可能です。

🚀 次のアクション

まずは、既存の環境でシークレットのローテーション設定が 適応されているシークレットを対象に、EventBridge ルールを作成し、Lambda や SNS で通知を受け取れるかテスト環境で可能です。

参照元: AWS Secrets Manager ユーザーガイド (https://://docs.aws.amazon.com/secretsmanager/latest/userguide/secret-event-notifications.html)