はじめに
2026 年 10 月 1 日、AWS Secrets Manager のコンソールに「推奨アクション」が表示されるようになりました。
コンソール共通の仕組みである AWS Recommended Actions[1] に Secrets Manager が対応したもので、シークレットの設定を見て、セキュリティを改善するための操作を提案してくれます。追加料金はかかりません。
https://aws.amazon.com/about-aws/whats-new/2026/10/aws-secrets-manager-security-posture-recommendations/
発表文では、推奨の例として「ローテーションが設定されていないシークレット」と「カスタマーマネージドキーを使っていないシークレット」の 2 つが挙がっています。ただ、これ以外にどんな推奨があるのかはドキュメントにも書かれていませんでした。
この記事では、暗号化キーとローテーションの設定を変えたシークレットを実際に作成し、それぞれに何が推奨されるかを確認してみます。
検証してみる
推奨アクションは、シークレットの一覧画面の右上にあるボタンから開きます。
ボタンを押すと右側にパネルが開きますが、一覧画面では「レコメンデーションを表示するには、リソースを選択します。」と表示されるだけでした。シークレットを 1 つ選択すると、そのシークレットへの推奨が表示されます。
続いて、検証用のシークレットを作ります。暗号化キーとローテーションの有無を組み合わせて、以下のシークレットを作りました。
| シークレット | 暗号化キー | ローテーション |
|---|---|---|
| A | AWS マネージドキー | なし |
| B | カスタマーマネージドキー | なし |
| C | AWS マネージドキー | 30 日ごと |
| D | カスタマーマネージドキー | 30 日ごと |
さて、それでは推奨事項を確認してみます。
シークレットごとに確認してみたところ、表示された推奨は以下の通りでした。
| 推奨 | A | B | C | D |
|---|---|---|---|---|
| Setup rotation for this secret | ○ | ○ | × | × |
| Optimize rotation schedule | × | × | ○ | ○ |
| Replicate secret to other regions | ○ | ○ | ○ | ○ |
| Encrypt this secret with a customer managed key. | ○ | × | ○ | × |
発表文に書かれていた 2 つに加えて、「他リージョンへのレプリケート」と「ローテーションスケジュールの最適化」も推奨されていますね。
Optimize rotation schedule は、ローテーションを設定済みの C と D にだけ表示されました。日数だけを指定したローテーションに対して、スケジュール式とローテーションウィンドウ[2]を使うよう勧めているようです。
推奨に対応してみる
D に表示された推奨に対応して、推奨が消えるかを確かめてみます。
推奨事項のカードから Optimize rotation schedule のボタンを押すと、ローテーションの設定を確認するダイアログが開きました。スケジュールには rate(30 days)、ローテーションウィンドウには 1h が入力済みで、Update を押せばそのまま設定できるようです。親切ですね。
Update を押し、コンソールを再読み込みすると、推奨が消えていました！ 設定を変えてから 1 分ほどで反映されるようです。
おわりに
発表文に書かれていた項目だけでなく、レプリケートやローテーションのスケジュールまで色々と提案してくれました。ワンボタンで簡単に設定変更できるので、設定を見直すきっかけとして手軽に使えそうですね。
一方で、レプリカやカスタマーマネージドキーには追加の料金がかかります。単一のリージョンで十分なシークレットもあるので、推奨を全て消すことを目指すより、シークレットごとに必要かどうかをきちんと人間が判断するのが良さそうです。
脚注