Aurora ヘッドレスクラスターで Secrets Manager 管理有効化時に “Unable to reset your password” が出た理由

• URL: https://dev.classmethod.jp/articles/yutaka-memo-rds-events-unable-to-reset-password
• 日付: 2026-06-24
• Tier: Tier 2
• 要旨: Aurora ヘッドレスクラスター（DB インスタンスなし）で Secrets Manager によるマスターユーザーパスワード管理を有効化すると、RDS イベントに Unable to reset your password（DB cluster has no instances available to perform master password reset）が出力される理由を分析。通常のパスワード変更では MasterUserPassword パラメータを指定し、Secrets Manager 管理では ManageMasterUserPassword パラメータを指定する別の API 操作。後者はパスワード生成・管理に加え、DB 側への反映にも対応する Writer インスタンスが必要だが、ヘッドレスクラスターには存在しないため出力される。新しい Writer 作成時に適用される予定。

詳細

Aurora の Secrets Manager 管理有効化では、Aurora がパスワード生成・Secrets Manager で管理。Secret 側と DB クラスター側のパスワードを同期させる必要があり、パスワード反映にはWriter DB インスタンスが必須。

API パラメータの違い：通常マスターパスワード変更は MasterUserPassword を指定、Secrets Manager 管理有効化は ManageMasterUserPassword を指定。公式ドキュメントでも同時指定不可と記載。

実検証：ap-northeast-1 リージョン、headless-test クラスター、Writer インスタンスなし作成。modify-db-cluster で–master-user-password を指定した通常変更ではエラーなく完了、RDS イベントにもパスワードリセット失敗メッセージなし。一方–manage-master-user-password を指定した Secrets Manager 管理有効化では、PendingModifiedValues に MasterUserPassword、MasterUserSecret に SecretStatus: creating が表示され、RDS イベントに Unable to reset が出力。

原因：Secrets Manager 管理で生成されたパスワードを DB 側に反映するには Writer インスタンスが必要だが、ヘッドレスクラスターには存在しないため出力。イベントメッセージに Your new password will be applied once a new writer is created と含まれており、致命的エラーではなく保留状態。