参考

【AWS Secrets Manager】
通常、AWSリソースへアクセスするアプリケーションは、認証のために「アクセスキーとシークレットアクセスキー」を利用します。アクセスキーはAWSによって作成されるアクセスキーID（例：AKIA3MQXZYKOAYRZ33OR）で、シークレットアクセスキーはアクセスキーと対になるものです。AWS CLIやAWS APIからAWSリソースにアクセスする際に使用します。
※詳細は、分野「IAM」を参照してください。

しかし、アプリケーションにアクセスキーやシークレットアクセスキーを書き込むのはセキュリティリスクが高くなります。認証情報をハードコーディング（埋め込み）することは、例えばアプリケーションのソースコードから認証情報を参照できてしまったり、認証情報を更新した際にアプリケーション側の更新漏れが発生するなどのリスクがあります。

AWS Secrets Managerは、データベースなどにアクセスする際のシークレット（ログイン時の認証情報など）を管理するサービスです。アプリケーションなどからAWSリソースへアクセスする際にSecrets Managerからシークレットを取得することにより、ログイン情報をアプリケーションにハードコーディングしたり平文で入力しておく必要がありません。
管理者はSecrets Managerを利用することにより、アプリケーションの安全な認証を実現できるようになります。


アプリケーションはSecrets ManagerのAPIを利用して、Secrets Managerに保存されたデータベースのシークレットを取得します。このとき、アプリケーション側にはIAMポリシー「secretsmanager:GetSecretValue」権限を付与する必要があります。


なお、Secrets Managerに管理されているシークレットは、KMS（Key Management Service）と連携することにより暗号化して保存することができます。

■シークレットのローテーション
Secrets Managerには、シークレットを安全に保存するための「ローテーション」機能があります。
ローテーションを有効にすると、Secrets Managerはスケジュールに基づいてLambda関数を内部的に呼び出し、シークレットを定期的に更新します。これにより、万一シークレットが漏洩してしまった際の被害を低減することができます。

シークレットが更新された後は、アプリケーションは更新されたシークレットでその後の認証を行います。
なお、Amazon RDS、Amazon Redshiftなど一部のサービスはSecrets Managerがローテーション用のテンプレートを用意しています。これら以外のサービス向けには、独自でローテーション関数を作成する必要があります。