시크릿 매니저
비밀번호·API 키를 안전하게 보관하고 자동 교체
이게 뭔가요? / What is this?
Secrets Manager는 파일 저장소가 아니라, 비밀번호나 API 키 같은 민감한 값을 암호화해 보관하고 주기적으로 스스로 새 값으로 바꿔주는 관리형 금고 서비스입니다. 은행 대여금고이면서 동시에 정기적으로 자물쇠 비밀번호를 스스로 바꿔주는 서비스라고 생각하면, 코드에 비밀번호를 그대로 박아 넣을 필요가 없어지는 이유를 알 수 있습니다.
개요 / Overview
Secrets Manager는 자격 증명을 암호화해 보관하고 RDS 등과 연동해 주기적으로 자동 교체합니다. "DB 비밀번호를 코드에서 제거하라", "정기적으로 교체하라"의 정답입니다.
동작 원리 / How it works
Secrets Manager는 시크릿을 KMS로 암호화해 저장하고, Lambda 회전 함수를 통해 주기적으로 값을 바꿉니다. RDS·Aurora·Redshift·DocumentDB는 회전 템플릿이 제공되어 클릭 몇 번으로 자동 교체가 붙습니다. 회전 시 새 값을 만들고 데이터베이스에 반영한 뒤 버전 라벨(AWSCURRENT, AWSPREVIOUS)을 옮기는 방식이라, 교체 순간에도 진행 중인 연결이 끊기지 않습니다.
애플리케이션은 시크릿을 코드에 두지 않고 실행 시점에 API로 가져옵니다. IAM으로 접근을 통제하고 CloudTrail에 조회 기록이 남습니다.
시험은 무엇을 보는가 / What the exam is testing
시험은 "비밀번호를 코드·환경 변수·설정 파일에서 제거하라", "90일마다 교체하라"에 Secrets Manager를 둡니다. Parameter Store와의 갈림길은 자동 회전 필요성과 비용입니다.
시험 포인트 / Exam points
자동 교체가 필요하면 Secrets Manager, 단순 설정값이고 비용을 아끼려면 Systems Manager Parameter Store(SecureString)입니다. 교체 요구가 결정적 갈림길입니다.
리소스 정책으로 다른 계정에 공유할 수 있고, 다중 리전 애플리케이션을 위해 시크릿을 다른 리전으로 복제할 수 있습니다.
자주 틀리는 함정 / Common traps
자동 회전이 필요한데 Parameter Store SecureString을 고르는 것 — 회전 기능이 없습니다.
헷갈리는 것 구분하기 / Telling them apart
자동 회전과 교차 계정 공유가 필요하면 Secrets Manager, 단순 설정값이고 비용을 아끼려면 Parameter Store입니다. Parameter Store 표준 파라미터는 무료입니다.
Secrets Manager
Stores passwords and API keys securely with automatic rotation
이게 뭔가요? / What is this?
Secrets Manager is not a file store — it is a managed vault service that keeps sensitive values like passwords and API keys encrypted and periodically swaps them for new ones on its own. Picture a bank safe-deposit box that also changes its own combination on a schedule — this is why applications no longer need to hard-code a password into their source code.
개요 / Overview
Secrets Manager encrypts credentials and rotates them automatically in concert with services such as RDS — the answer to "remove the database password from code" and "rotate regularly".
동작 원리 / How it works
Secrets Manager stores secrets encrypted with KMS and rotates them on a schedule through a Lambda rotation function. RDS, Aurora, Redshift, and DocumentDB ship rotation templates, so automatic rotation is a few clicks. Rotation creates the new value, applies it to the database, then moves version labels (AWSCURRENT, AWSPREVIOUS), so in-flight connections survive the switch.
Applications fetch secrets by API at runtime instead of embedding them. IAM controls access and CloudTrail records each retrieval.
시험은 무엇을 보는가 / What the exam is testing
The exam answers "remove the password from code, environment variables, or config" and "rotate every 90 days" with Secrets Manager. The fork with Parameter Store is automatic rotation and cost.
시험 포인트 / Exam points
Automatic rotation → Secrets Manager. Plain configuration values at lower cost → Systems Manager Parameter Store with SecureString. Rotation is the deciding factor.
Resource policies share secrets across accounts, and secrets replicate to other Regions for multi-Region applications.
자주 틀리는 함정 / Common traps
Choosing Parameter Store SecureString when automatic rotation is required — it has none.
헷갈리는 것 구분하기 / Telling them apart
Automatic rotation or cross-account sharing → Secrets Manager. Plain configuration values at lower cost → Parameter Store, whose standard parameters are free.
AWS SAA Hub Pro는 독립 학습 자료이며 Amazon Web Services, Inc.의 공식 서비스가 아닙니다. 시험 정책과 서비스 사양은 AWS 공식 문서를 기준으로 확인하세요.