【比較ガイド】Secrets Manager vs. Parameter Store：SaaS開発者・投資家向けの最適な使い分け戦略
はじめに
AWS上で機密情報を安全かつ効率的に管理するには、主に以下の2つのサービスが利用されます：
- AWS Secrets Manager
- AWS Systems Manager Parameter Store（以下、SSM Parameter Store）
それぞれ特徴や適材適所が異なります。本記事では、SaaS構築・自動化・コスト効率を重視する開発者・投資家視点で、違い・選定基準・具体的なユースケースを戦略的に解説します。
1. 機能比較：Secrets Manager vs Parameter Store
| 項目 | Secrets Manager | SSM Parameter Store（SecureString） |
|---|---|---|
| 主な用途 | 高機密情報（APIキー、DBパスなど） | 設定値、低頻度のシークレット管理 |
| 暗号化 | ✅ KMS暗号化（デフォルト） | ✅ KMS暗号化（SecureString指定時） |
| 自動ローテーション | ✅ あり（Lambda連携可） | ❌ なし（手動のみ） |
| バージョニング | ✅ あり（履歴あり） | ✅ あり（履歴あり） |
| アクセス制御 | IAMベース（柔軟） | IAMベース（同様） |
| 料金 | 有料（$0.40/月/secret～） | 無料枠あり（SecureString 10,000件まで無料） |
| 最大サイズ | 約64KB | 約4KB（SecureString） |
| SDK対応 | ✅ 各言語で対応（GetSecretValue） | ✅ GetParameter/GetParameters |
| CLI対応 | ✅ aws secretsmanager | ✅ aws ssm |
| シークレット設計向け | ✅ SaaS認証/APIキー/DB認証 | ⚠️ 軽量設定・構成パラメータ向け |
2. 使い分け戦略（結論）
✅ Secrets Manager を使うべき場合
- OpenAIやDMMなど外部APIキーを安全に保持・使用
- DBパスワード・認証情報をローテーション込みで運用
- SaaS環境ごとに機密データを切り分け（
/prod/,/dev/）
✅ Parameter Store を使うべき場合
- フロントURL、環境フラグ、APIのベースURLなど機密度の低い設定
- コストを極限まで抑えたい開発初期・テスト段階
- 1ヶ月10,000件無料枠を活用し設定情報を集中管理したい
3. SaaSテンプレートでの併用設計パターン
実運用においては、「Secrets Manager」と「Parameter Store」は併用が推奨されます。以下に設計テンプレート例を示します：
🔧 Secrets Manager 管理項目
| キー | 用途例 |
|---|---|
OPENAI_API_KEY | OpenAI APIのキー（高機密） |
DMM_AFFILIATE_ID | DMMアフィリエイトID |
DB_PASSWORD | AuroraなどのDBパスワード |
🔧 Parameter Store 管理項目（SecureString/PlainText）
| キー | 用途例 |
|---|---|
/myapp/dev/BASE_URL | APIエンドポイントのベースURL |
/myapp/dev/FEATURE_TOGGLE_CHATGPT | フラグ（true/false） |
/myapp/dev/FRONTEND_ORIGIN | CORS許可ドメインなど |
💡 SecureString にすればある程度機密性も確保可能ですが、ローテーションやサイズに制限あり。
4. コスト比較（2025年版）
| サービス | 無料枠 | 有料料金 |
|---|---|---|
| Secrets Manager | ×（無料枠なし） | $0.40/月/secret + API呼び出し課金あり |
| Parameter Store | ✅（10,000件まで） | $0.05/1,000リクエスト 超過時のみ |
🔎 コスト最適化Tips
- APIキー類はSecrets Managerで集中管理（重要1〜5件に限定）
- 構成値やトグルスイッチはParameter Storeで定義
- 運用コストの見積もりを事前に可視化しておく（予算意識）
5. SAMテンプレートでの実装統合例
Parameter Store を Lambda に環境変数として渡す例
Environment:
Variables:
BASE_URL: !Sub '{{resolve:ssm:/myapp/dev/BASE_URL}}'
Secrets Manager のARNを渡す例
Environment:
Variables:
SECRET_ARN: arn:aws:secretsmanager:ap-northeast-1:xxx:secret:myapp/dev/external-api-xyz
Lambda起動時にSDK経由で呼び出し → Secrets取得＆キャッシュ処理を実装。
まとめ：選定のための意思決定マトリクス
| 判断軸 | 推奨サービス |
|---|---|
| セキュリティ重視 | ✅ Secrets Manager |
| コスト最適化重視 | ✅ Parameter Store |
| ローテーションが必要 | ✅ Secrets Manager |
| 軽量設定・環境変数代替 | ✅ Parameter Store |
| 自動化・CI/CD組込 | 両方対応可能（使い分け設計） |
結論：併用こそがベストプラクティス
Secrets ManagerとParameter Storeは、単純な上位互換ではなく役割分担が明確なサービスです。
**「高機密データをSecrets、構成情報をParameter Storeへ」**という設計パターンは、コスト・セキュリティ・再現性・スケーラビリティの観点で最も合理的です。
コメント