Pythonのboto3でAWS Secrets Managerからプレーンテキストのシークレットキーを取得する方法

はじめに

本記事では、Pythonのboto3ライブラリを使用して、AWS Secrets Manager(シークレットマネージャー)にプレーンテキストとして保存されたシークレットキーを取得する方法を解説します。認証情報やAPIキーなどの機密情報を安全に管理するSecrets Managerは、アプリケーション開発において非常に重要なサービスです。

課題

Pythonのboto3ライブラリを使って、AWS Secrets Managerに保存されたシークレットキーを取得したい。

解決のための手順(アプローチ)

1. ステップ1: 例外処理のために、boto3とbotocore.exceptions(ClientErrorなど)をインポートします。

2. ステップ2: 必須パラメータはsecret_stored_locationです。これはシークレットが保存されている場所(SecretId)を示します。

3. ステップ3: boto3でAWSセッションを作成します。デフォルトプロファイルにregion_nameが設定されていることを確認してください。設定されていない場合は、セッション作成時に明示的にリージョン名を指定する必要があります。

4. ステップ4: secretmanager用のAWSクライアントを作成します。

5. ステップ5: get_secret_valueを呼び出し、secret_stored_locationをSecretIdとして渡します。

6. ステップ6: 指定したロケーションに存在するシークレットが、復号化された状態(プレーンテキスト)で返されます。

7. ステップ7: 値の取得中にエラーが発生した場合に備えて、汎用的な例外ハンドリングを実装します。

サンプルコード

以下のコードを使用すると、AWS Secrets Managerからプレーンテキスト形式のシークレットを取得できます。

import boto3
from botocore.exceptions import ClientError

def get_secret_details(secret_stored_location):
    session = boto3.session.Session()
    s3_client = session.client('secretmanager')
    try:
        response = s3_client.get_secret_value(SecretId=secret_stored_location)
        return response
    except ClientError as e:
        raise Exception("boto3 client error in get_secret_details: " + e.__str__())
    except Exception as e:
        raise Exception("Unexpected error in get_secret_details: " + e.__str__())

a = get_secret_details('/secrets/aws')
print(a['SecretString'])

実行結果

{"aws.user":"SERVICE_USER","aws.accesskey":"I**************"}

補足ポイント

• get_secret_valueのレスポンスには、テキスト形式で保存された場合はSecretString、バイナリ形式で保存された場合はSecretBinaryが含まれます。

• シークレットがJSON形式で保存されている場合は、json.loads(response['SecretString'])を使って辞書型として扱うと便利です。

• この操作を実行するIAMユーザーまたはロールには、secretsmanager:GetSecretValue権限が必要です。

• シークレットへのアクセスにはAPI呼び出し料金が発生するため、Lambda関数などで頻繁に利用する場合は、値をキャッシュすることを推奨します。