AWS Secrets Managerは、データベースパスワード、外部APIキー、OAuthトークンなどをアプリケーションへ安全に渡すためのマネージドサービスです。料金は「秘密情報を保存した数」と「APIを呼んだ回数」で決まり、ローテーションを有効にするとLambda、独自のKMSキー、通知の料金も加わります。機密情報を安全にするサービスだから高額、とは限りません。ただし、短時間だけ使うトークンを大量に保存すると、保存時間が請求を大きくします。
2026年8月25日にAWS公式料金ページを確認したところ、Secrets Managerは前払い・長期契約・最低料金なしの従量課金です。代表的な米ドル単価は、1シークレットあたり月0.40ドル、APIコール10,000回あたり0.05ドルです。AWS Free Tierのクレジットが適用できる新規アカウント条件もありますが、すべての利用者に同じ無料枠があるとは限らないため、予算計算では有料として置く方が安全です。
常時使う本番のDB認証情報なら、シークレット数×0.40ドル＋APIコール数×0.05ドル／10,000を基本にします。自動ローテーションはLambdaの実行料金、カスタマー管理KMSキーはKMS料金、CloudTrailや通知は各サービス料金が別です。
Secrets Managerの料金表
| 項目 | 課金単位 | 確認ポイント |
|---|---|---|
| 保存 | シークレット1個・月 | 代表例0.40ドル／シークレット／月。短時間利用は時間按分の例あり |
| API | 10,000 APIコール | 代表例0.05ドル／10,000回。GetSecretValueやDescribeなどを集計 |
| ローテーション | Lambdaの実行・リクエスト | Secrets Managerとは別にLambda料金 |
| 暗号化 | AWS管理キーまたはKMSキー | aws/secretsmanager管理キーは追加料金なしの説明。独自KMSはKMS料金 |
| 監査・通知 | CloudTrail、S3、SNSなど | ログ保存・通知先サービスの料金が別 |
ローテーションで新しいバージョンが作られても、そのバージョン作成自体に別料金がかかるわけではありません。一方、ローテーション関数が失敗して何度も実行されればLambdaや関連APIの利用が増えます。料金を抑えるためにローテーションを止めるのではなく、失敗原因と実行頻度を監視することが先です。
月額を計算する基本式
本番アプリケーションでシークレットが50個あり、各シークレットをアプリが1日20回読み出すとします。30日ならAPIコールは50×20×30＝30,000回。保存は50×0.40＝20ドル、APIは30,000÷10,000×0.05＝0.15ドル、Secrets Manager部分は20.15ドル／月です。実際は接続プールやキャッシュを使って読み出し回数を減らせるため、アプリ起動時だけ取得する設計の方が、可用性と料金の両方で有利になる場合があります。
次に、1,500シークレットを常時保持し、各シークレットへ1日20回アクセスする大規模な例を見ます。保存は1,500×0.40＝600ドル、APIは1,500×20×30＝900,000回、900,000÷10,000×0.05＝4.50ドル。合計は公式例と同じ604.50ドル／月です。大きな請求の主因はAPI回数ではなく、シークレット数です。サービス・環境・テナントごとに無制限に分ける前に、ローテーションと権限の境界を設計します。
短命トークンで費用が増える場合
5百万個のトークンを1時間だけ保存し、各トークンを2回読むケースでは、シークレットの時間按分が効きます。公式の例では、0.40ドル×1時間÷（30日×24時間）＝約0.00056ドル／シークレット／時。5百万個で約2,800ドル、API 1,000万回で50ドルとなり、合計は2,850ドル／月です。短い有効期限だから無料になるわけではありません。大量の一時トークンは、STSの一時認証情報やアプリのキャッシュなど、別の仕組みと比較します。
シークレットを1つにまとめすぎると、権限分離やローテーション失敗時の影響範囲が広がります。逆に、環境変数・テナント・機能ごとに細かく分けすぎると保存コストと管理負荷が増えます。数を決めるときは、料金だけでなく「同じ権限で更新できるか」「同時に廃止できるか」を軸にします。
ローテーションと周辺サービス
- 自動ローテーションはLambdaを使うため、AWS Lambda料金の実行時間・リクエストを見積もります。
- 独自KMSキーで暗号化する場合は、KMSのキー・API利用料、キーポリシーの管理コストを確認します。
- EC2やコンテナから取得する場合は、EC2料金やECS料金の稼働費とは別に、Secrets Managerの呼び出しを計測します。
- CloudTrailの管理イベント、S3へのログ保存、SNS通知を有効にすると、それぞれの料金が加わります。
アプリ側のキャッシュは有効ですが、TTLを長くしすぎるとローテーション後も古い値を使うことがあります。更新失敗時に再取得する処理、接続プールの再作成、旧値の失効タイミングをテストし、単純な「毎リクエスト取得」からは卒業します。
契約・解約・削除前の確認
Secrets Managerは使った分だけ支払うサービスで、解約金や長期契約の違約金を前提にしません。ただし、シークレットを削除すると復元猶予期間後に値が失われます。アプリ、CI/CD、バッチ、外部連携が参照していないことを確認し、削除スケジュールを設定してから段階的に廃止します。「削除予定」として残ったシークレットには保存料金がかからないと公式ガイドにありますが、運用上の依存関係を放置しないことが大切です。
データ保護と権限
シークレットの値をログ、エラーメッセージ、Git履歴、Terraformの状態ファイルへ出さないでください。IAMはGetSecretValueの対象ARNを限定し、アプリ実行ロールと管理者ロールを分離します。クロスアカウント参照ではリソースポリシーとKMSキーポリシーの双方を確認し、CloudTrailで読み出し主体を監査します。リージョン障害への備えとして複製する場合は、複製先でもシークレット数の料金とキー管理を見積もります。
よくある質問
AWS管理キーなら暗号化は無料ですか？
AWS公式ガイドではaws/secretsmanager管理キーを無料で利用できる説明があります。独自KMSキー、外部キー、関連APIの料金は別条件なので、要件に応じて確認します。
ローテーションを有効にしたら料金は何倍ですか？
一律の倍率はありません。ローテーション関数の実行時間、失敗回数、対象シークレット数、KMSや通知の利用状況で変わります。
Parameter Storeと比べるべきですか？
機密値のローテーション、監査、アクセス方式、保存上限を比較します。単価だけでなく、運用要件と移行時の漏えいリスクを含めて判断してください。
Secrets Managerの見積もりで最初に数えるのはAPIコールではなく、シークレットの境界です。権限、ローテーション、廃止を一緒に設計すれば、必要な安全性を保ちながら、使われない秘密情報の月額を増やさずに済みます。
参照：AWS Secrets Manager pricing、AWS Secrets Manager User Guide（2026年8月25日確認）。価格は公式の米ドル例で、アカウント・リージョン・KMS・周辺サービスで変動します。
