# ECSのタスクに環境変数を安全に渡す方法（Secrets Manager編）

## 目次
1. はじめに
2. Secrets Managerの概要
   2.1. Secrets Managerの特徴
   2.2. 秘密情報の管理方法
3. ECSタスク定義の準備
   3.1. Secrets Managerでのシークレット作成
   3.2. シークレットのAWS CLIコマンドによる操作
4. ECSタスクへの環境変数の渡し方
   4.1. コンテナ定義におけるシークレットの指定
   4.2. プログラムでの環境変数取得
5. セキュリティ考慮点
   5.1. IAMポリシーとアクセス制御
   5.2. ログの保護とアクセス監査
6. まとめ

## 1. はじめに
Amazon ECS（Elastic Container Service）は、AWSが提供するフルマネージド型のコンテナオーケストレーションサービスです。このサービスを利用する際、機密性の高い情報（例: APIキーやパスワード）をどのようにコンテナ内に安全に渡すかは重要なトピックです。AWS Secrets Managerは、そうした機密情報を扱うためのソリューションとして非常に有効です。本記事では、ECSタスクに環境変数を安全に渡す方法を具体的に解説します。

## 2. Secrets Managerの概要

### 2.1. Secrets Managerの特徴
Secrets Managerは、AWSが提供するサービスで、シークレットの管理、ローテーション、取得、および制御されたアクセスを行います。自動的なシークレットのローテーションや、暗号化されたストレージによる情報の保護が特徴です。

### 2.2. 秘密情報の管理方法
Secrets Managerで保存される情報は、KMS（Key Management Service）で暗号化されており、特定のIAM（Identity and Access Management）ロールのみがアクセスできます。

## 3. ECSタスク定義の準備

### 3.1. Secrets Managerでのシークレット作成
まず、Secrets Managerにて秘密情報を設定します。AWSマネジメントコンソールを使用する場合、コンソールに移動し、新しいシークレットを作成します。例として、データベースのパスワードを保存します。

### 3.2. シークレットのAWS CLIコマンドによる操作
CLIを利用する場合、以下のコマンドでシークレットを作成できます。
![img](/mosaic-code.jpg)

## 4. ECSタスクへの環境変数の渡し方

### 4.1. コンテナ定義におけるシークレットの指定
ECSタスク定義のコンテナ定義でシークレットを指定します。これは環境変数セクションで `secrets` オプションを指定する形で行います。

![img](/mosaic-code.jpg)

### 4.2. プログラムでの環境変数取得
コンテナ内のプログラムでは通常の環境変数として取得できます。
![img](/mosaic-code.jpg)

## 5. セキュリティ考慮点

### 5.1. IAMポリシーとアクセス制御
Secrets Managerにアクセスするためには、適切なIAMポリシー設定が必要です。特に、ECSタスク実行ロールにSecrets Managerへのアクセスを許可するポリシーを追加します。

### 5.2. ログの保護とアクセス監査
ログに機密情報が出力されるのを防ぐため、適切なログ設定を行うことが重要です。また、CloudTrailを使ってアクセスの監査を定期的に実施します。

## 6. まとめ
Amazon ECSでコンテナをデプロイする際に、Secrets Managerを利用することで機密情報を安全に管理できます。適切なIAM権限を設定し、アクセスを監査することで、セキュリティをさらに強化できます。AWSの提供するツール群を活用し、シークレット管理の効率を上げていきましょう。 [cv:issue_marketplace_engineer]

# ECSのタスクに環境変数を安全に渡す方法（Secrets Manager編）

## 目次
1. はじめに
2. Secrets Managerの概要
   2.1. Secrets Managerの特徴
   2.2. 秘密情報の管理方法
3. ECSタスク定義の準備
   3.1. Secrets Managerでのシークレット作成
   3.2. シークレットのAWS CLIコマンドによる操作
4. ECSタスクへの環境変数の渡し方
   4.1. コンテナ定義におけるシークレットの指定
   4.2. プログラムでの環境変数取得
5. セキュリティ考慮点
   5.1. IAMポリシーとアクセス制御
   5.2. ログの保護とアクセス監査
6. まとめ

## 1. はじめに
Amazon ECS（Elastic Container Service）は、AWSが提供するフルマネージド型のコンテナオーケストレーションサービスです。このサービスを利用する際、機密性の高い情報（例: APIキーやパスワード）をどのようにコンテナ内に安全に渡すかは重要なトピックです。AWS Secrets Managerは、そうした機密情報を扱うためのソリューションとして非常に有効です。本記事では、ECSタスクに環境変数を安全に渡す方法を具体的に解説します。

## 2. Secrets Managerの概要

### 2.1. Secrets Managerの特徴
Secrets Managerは、AWSが提供するサービスで、シークレットの管理、ローテーション、取得、および制御されたアクセスを行います。自動的なシークレットのローテーションや、暗号化されたストレージによる情報の保護が特徴です。

### 2.2. 秘密情報の管理方法
Secrets Managerで保存される情報は、KMS（Key Management Service）で暗号化されており、特定のIAM（Identity and Access Management）ロールのみがアクセスできます。

## 3. ECSタスク定義の準備

### 3.1. Secrets Managerでのシークレット作成
まず、Secrets Managerにて秘密情報を設定します。AWSマネジメントコンソールを使用する場合、コンソールに移動し、新しいシークレットを作成します。例として、データベースのパスワードを保存します。

### 3.2. シークレットのAWS CLIコマンドによる操作
CLIを利用する場合、以下のコマンドでシークレットを作成できます。
```bash
aws secretsmanager create-secret --name MyDatabasePassword --secret-string '{"username":"admin","password":"mypassword"}'
```

## 4. ECSタスクへの環境変数の渡し方

### 4.1. コンテナ定義におけるシークレットの指定
ECSタスク定義のコンテナ定義でシークレットを指定します。これは環境変数セクションで `secrets` オプションを指定する形で行います。

```json
{
  "name": "my-container",
  "image": "my-image",
  "secrets": [
    {
      "name": "DB_PASSWORD",
      "valueFrom": "arn:aws:secretsmanager:region:account-id:secret:MyDatabasePassword"
    }
  ]
}
```

### 4.2. プログラムでの環境変数取得
コンテナ内のプログラムでは通常の環境変数として取得できます。
```python
import os

db_password = os.environ.get('DB_PASSWORD')
print(f"The database password is {db_password}")
```

## 5. セキュリティ考慮点

### 5.1. IAMポリシーとアクセス制御
Secrets Managerにアクセスするためには、適切なIAMポリシー設定が必要です。特に、ECSタスク実行ロールにSecrets Managerへのアクセスを許可するポリシーを追加します。

### 5.2. ログの保護とアクセス監査
ログに機密情報が出力されるのを防ぐため、適切なログ設定を行うことが重要です。また、CloudTrailを使ってアクセスの監査を定期的に実施します。

## 6. まとめ
Amazon ECSでコンテナをデプロイする際に、Secrets Managerを利用することで機密情報を安全に管理できます。適切なIAM権限を設定し、アクセスを監査することで、セキュリティをさらに強化できます。AWSの提供するツール群を活用し、シークレット管理の効率を上げていきましょう。 

ECSのタスクに環境変数を安全に渡す方法（Secrets Manager編）

目次

続きを読むには単価診断を受けてください（30秒）