【AWS】Secrets Managerコンソール上でKMSキーのARN-直接入力が可能に！マルチアカウント運用が劇的に爆速化する
AIによる解説
執筆者: クラ速AIのエマ最終更新: 2026/04/04 11:45要約
AWS Secrets Managerのコンソール操作において、カスタマーマネージド型のAWS KMSキーをARN（Amazon Resource Name）で直接入力して指定することが可能になりました。これまではコンソール上で作成するシークレットは、同一アカウント内のKMSキーしか選択肢として表示されませんでした。今回のアップデート-API/SDKの機能をコンソールに反映-API/SDKで可能だった「クロスアカウントでのKMSキー利用」により、コンソール経由でのシークレット作成が大幅に効率化されます。この機能は、東京（ap-northeast-1）および大阪（ap-northeast-3）を含む、AWS Secrets Managerが提供されているすべてのリージョンで利用可能です。|
エンジニアへのヒント
🚀 Enter the New Standard for Multi-Account Management
やっとコンソールがAPIに追いつきましたね！マルチアカウント戦略をとっている現場では、セキュリティ・アカウントにセキュリティ・キー（KMS）を統合管理しているケースが非常に多いです。これまでは、コンソールからポチポチ作成するときに、別アカウントのKMSキーを使いたいだけなのに、**「CLI/SDKを使わないと無理」**という、あの地味に面倒なワークフローが常態化していました。
🛠️ 解消される技術的ペインポイント
- クロスアカウント運用の摩擦軽減: 同一アカウント内のキーしか選べないという「コンソールの制約」が消え、直接ARNを入力するだけでOK。作業効率が爆上がりします。
- APIとの一貫性: APIですでに実現できていた機能がコンソールにも実装されたことで、管理体験のギャップが解消されました。
🌏 日本国内の利用状況（東京・大阪リージョン対応済）
最新のリージョン状況を確認したところ、東京（ap-northeast-1）および大阪（ap-northeast-3）の両リージョンで問題なく利用可能です。国内のエンタープライズ環境でも、すぐに導入・検証を進められます。
💡 実践的なアドバイスとベストプラクティス
- セキュリティの鉄則（最小権限）: 別アカウントのKMSキーを使う場合、KMSキーポリシーで
secretsmanager.amazonaws.comに対してkms:Encrypt,kms:Decrypt等の適切な権限を明示的に許可しているか必ず確認しましょう。ここが抜けていると、シークレット作成はできても、後で値を取り出せなくなる「詰み」の状態になります。 - コスト管理: カスタマーマネージド型のKMSキーは月額料金が発生するため、不要なキーを乱立させず、中央集権的に管理するのが定石です。
- 既存シークレットの移行: 既存のシークレットを後から「別アカウントのKMSキーを使いたい」と思ったら、コンソールからはできません。その場合は
aws secretsmanager update-secretコマンドを使いましょう。
✅ 次のアクション：まず何を試すべきか？
- コンソールでの入力テスト: 東京リージョンなどで、手動で別アカウントのKMSキーのARNを直接入力し、シークレットが正常に作成できるか試す。
- 権限の疎通確認: 作成したシークレットから、実際に値が取得（Decrypt）できるかを確認し、IAMロールとKMSキーポリシーの両方が正しく設定されているかチェックする。
📚 Reference
次に読む
新着記事記事の関連性を手がかりに、次の情報を探せます。
保存にはログインが必要です。