この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。
3行まとめ
- AWS Secrets Managerのシークレットが即座削除に対応
- AWS SDK/CLI は対応。管理コンソールは未対応
- 即時削除されたシークレットは復旧できない
これまで
本アップデート前までは、シークレットの重要性から、シークレットを即時に削除することはできず、削除までに一定の保留期間が必ず存在しました。
シークレットの持つ重要性から、AWS Secrets Manager ではシークレットの削除を意図的に困難なものにしています。シークレットはすぐに削除することはできません。代わりにすぐにアクセスできなくなり、最短で 7 日間の復旧期間が経過した後に削除スケジュールが設定されます。復旧期間が終了するまで、以前に削除したシークレットを復旧することができます。
https://docs.aws.amazon.com/secretsmanager/latest/userguide/manage_delete-restore-secret.html
これから
2018/08/09 のアップデートにより、保留期間を経ずにシークレットを即座に削除できるようになりました。
即時削除されたシークレットは復旧できなくなるため、十分に確認の上、この操作を行ってください。
Secrets Manager シークレットの状態遷移
今回追加されたのは、赤の遷移です。
やってみた
実際にシークレットを作成し
- 通常削除
- リストア
- 即時削除
を実行してみます。
シークレットの作成
まずは key
という SecretId
のシークレットを作成します。
$ aws secretsmanager create-secret \
--name key \
--secret-string value
{
"VersionId": "ab8671b0-9761-49eb-b580-f84a66121f25",
"Name": "key",
"ARN": "arn:aws:secretsmanager:eu-central-1:123456789012:secret:key-abcdef"
}
$ aws secretsmanager describe-secret --secret-id key
{
"VersionIdsToStages": {
"ab8671b0-9761-49eb-b580-f84a66121f25": [
"AWSCURRENT"
]
},
"Name": "key",
"ARN": "arn:aws:secretsmanager:eu-central-1:123456789012:secret:key-abcdef",
"LastChangedDate": 1533976551.112
}
シークレットの通常の削除
7 日の保留期間(--recovery-window-in-days
)を経てシークレットを削除します。
$ aws secretsmanager delete-secret \
--secret-id key \
--recovery-window-in-days 7
{
"DeletionDate": 1534584175.599,
"Name": "key",
"ARN": "arn:aws:secretsmanager:eu-central-1:123456789012:secret:key-abcdef"
}
$ aws secretsmanager describe-secret --secret-id key
{
"DeletedDate": 1533979375.609,
"Name": "key",
"VersionIdsToStages": {
"ab8671b0-9761-49eb-b580-f84a66121f25": [
"AWSCURRENT"
]
},
"LastChangedDate": 1533979375.618,
"LastAccessedDate": 1533945600.0,
"ARN": "arn:aws:secretsmanager:eu-central-1:123456789012:secret:key-abcdef"
}
レスポンスに2種類の削除系日時が存在します。
DeletionDate
: recovery window 後のシークレットが実際に削除される UNIX TIMEDeletedDate
: 削除操作を行った UNIX TIME
を表しています。
実際に削除までの日数を確認すると、--recovery-window-in-days 7
と一致しています。
$ python -c 'print((1534584175.599-1533979375.609)/60/60/24)'
6.99999988426
シークレットのリストア
即時削除ではないため、recovery window が経過するまではリストア可能です。
$ aws secretsmanager restore-secret --secret-id key
{
"Name": "key",
"ARN": "arn:aws:secretsmanager:eu-central-1:123456789012:secret:key-abcdef"
}
$ aws secretsmanager describe-secret --secret-id key
{
"VersionIdsToStages": {
"ab8671b0-9761-49eb-b580-f84a66121f25": [
"AWSCURRENT"
]
},
"LastChangedDate": 1533979452.253,
"LastAccessedDate": 1533945600.0,
"ARN": "arn:aws:secretsmanager:eu-central-1:123456789012:secret:key-abcdef",
"Name": "key"
}
リストア後は describe-secret
のレスポンスから DeletedDate
が消えました。
即時削除
次に、新機能である即時削除を試してみます。
DeleteSecret
API に ForceDeleteWithoutRecovery
フラグを渡すだけです。
$ aws secretsmanager delete-secret \
--secret-id key \
--force-delete-without-recovery
{
"DeletionDate": 1533979518.8,
"Name": "key",
"ARN": "arn:aws:secretsmanager:eu-central-1:123456789012:secret:key-abcdef"
}
$ aws secretsmanager describe-secret --secret-id key
{
"DeletedDate": 1533979518.816,
"Name": "key",
"VersionIdsToStages": {
"ab8671b0-9761-49eb-b580-f84a66121f25": [
"AWSCURRENT"
]
},
"LastChangedDate": 1533979518.832,
"LastAccessedDate": 1533945600.0,
"ARN": "arn:aws:secretsmanager:eu-central-1:123456789012:secret:key-abcdef"
}
レスポンスに2種類の削除系日時が存在します。
削除の保留期間が存在しないため
DeletionDate
: recovery window 後のシークレットが実際に削除される UNIX TIMEDeletedDate
: 削除操作を行った UNIX TIME
がほぼ同じです。
即時削除直後は 削除されたシークレットに対して、DescribeSecret
可能でしたが、ほどなく、ResourceNotFoundException
エラーが発生しました。
$ aws secretsmanager describe-secret --secret-id key
An error occurred (ResourceNotFoundException) when calling the DescribeSecret operation: Secrets Manager can’t find the specified secret.
$ aws secretsmanager list-secrets
{
"SecretList": []
}
即時削除されたシークレットはリストアできないことも、確認します。
$ aws secretsmanager restore-secret --secret-id key
An error occurred (ResourceNotFoundException) when calling the RestoreSecret operation: Secrets Manager can’t find the specified secret.
まとめ
Amazon Secrets Managerのシークレットは、すくなくとも7日を経なければ削除できませんでしたが、即座に削除できるようになりました。
検証のために作成したシークレットをすぐに消したい場合には便利です。 ただし、管理コンソールではこの操作に対応しておらず、SDK/CLI を使う必要があります。
即時削除したシークレットは復旧できないため、プロダクションサービスのシークレットに対しては、従来どおり保留期間を設定し、削除予定のシークレットが使われていないことを十分に確認した上で削除してください。
シークレットの利用状況を監視するには、次のようなソリューションを検討ください。
AWS Secrets Manager シークレットの使用を監視する
参考
- AWS Documentation » AWS Secrets Manager » User Guide » Creating and Managing Secrets with AWS Secrets Manager » Deleting and Restoring a Secret
- Easily automate secrets management with AWS Secrets Manager by deleting secrets without a recovery window
- https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_DeleteSecret.html