AWS Secrets ManagerでAmazon RDSのパスワードローテーションを行うためのCloudFormationテンプレートを試してみる

Template with explanation:

AWSTemplateFormatVersion: 2010-09-09
# 回転に必要な
Transform: AWS::SecretsManager-2020-07-23
Description: "Secrets Manager with automatic rotation"


Resources: 
  # SecretString JSON にランダムで生成されるパスワードを持つSecretリソースです。
  MyRDSSecret:
    Type: "AWS::SecretsManager::Secret"
    Properties:
      Description: "This is automatic generated Secrets Manager secret for an RDS DB instance"
      GenerateSecretString:
        # ユーザー名 "developersio"がハードコードされている
        SecretStringTemplate: '{"username": "admin"}'
        # パスワード "キーが生成され、マージされます。
        GenerateStringKey: "password"
        PasswordLength: 16
        ExcludeCharacters: '"@/\'

#RDSインスタンスリソースです。マスターユーザー名とパスワードは、シークレットマネージャーから値を解決するために動的参照を使用します。
#動的参照は、CloudFormationが解決された値をログに残したり、持続させたりしないことを保証しています。
#秘密名はCloudFormationによって生成されるので、
#秘密リソースの論理IDへのRefを使用して動的参照を構築しています。
  MyRDSInstance:
    Type: AWS::RDS::DBInstance
    Properties:
      AllocatedStorage: 20
      DBInstanceClass: db.t2.micro
      Engine: mysql
      MasterUsername: !Join ['', ['{{resolve:secretsmanager:', !Ref MyRDSSecret, ':SecretString:username}}' ]]
      MasterUserPassword: !Join ['', ['{{resolve:secretsmanager:', !Ref MyRDSSecret, ':SecretString:password}}' ]]
      BackupRetentionPeriod: 0
      DBInstanceIdentifier: 'rotation-instance'

#これはSecretTargetAttachmentリソースで、参照されているRDSインスタンスに関するプロパティで、
#参照されているSecretリソースを更新します。
  SecretRDSInstanceAttachment:
    Type: "AWS::SecretsManager::SecretTargetAttachment"
    Properties:
      SecretId: !Ref MyRDSSecret
      TargetId: !Ref MyRDSInstance
      TargetType: AWS::RDS::DBInstance


#これはRotationScheduleリソースです。
#リソース作成時に最初のローテーションが行われ、
#その後のローテーションはローテーションルールに従ってスケジュールされます
# ローテーションが成功するために必要なすべての情報を含む秘密を確保するために、
#作成される SecretTargetAttachmentリソースに明示的に依存します。
  MySecretRotationSchedule:
    Type: AWS::SecretsManager::RotationSchedule
    Properties:
      SecretId: !Ref MyRDSSecret
      # AWSが提供するLambda関数を利用する
      HostedRotationLambda:
        RotationLambdaName: SecretsManagerRotation
        RotationType: MySQLSingleUser
      RotationRules:
        AutomaticallyAfterDays: 30
    #秘密がRDSデータベースにリンクされる前に、秘密の回転を有効にすることができないので、重要な依存します。
    DependsOn: SecretRDSInstanceAttachment