# Secrets Manager cross-account replication เปิดแล้ว สำเนา secret ข้ามบัญชี AWS อัปเดตเอง

> Secrets Manager cross-account replication เปิดตามประกาศ AWS 13 พ.ย. 2026 ทำสำเนา secret ข้ามบัญชีให้ตามค่าหลักและการหมุนเวียน เก็บในบัญชีกู้คืนที่แยกจากกัน

- ประเภท: ข่าว · หมวด: Cloud
- เผยแพร่: 2026-11-14T01:43:00.000Z · อัปเดต: 2026-11-14T01:43:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/cloud/secrets-manager-cross-account-replication/

## สรุปประเด็นสำคัญ

- AWS ประกาศเมื่อ **13 พฤศจิกายน 2026** ว่า **AWS Secrets Manager** รองรับ cross-account replication เก็บสำเนา secret หลักไว้ใน **บัญชี AWS อีก 1 บัญชี** สำหรับการเข้าถึงข้ามบัญชี สำรองข้อมูล และกู้คืนระบบ
- สำเนาเป็นทรัพยากรอิสระเต็มรูปแบบที่เข้ารหัสด้วย **customer managed KMS key** ของบัญชีปลายทาง และ Secrets Manager อัปเดตให้เองเมื่อค่าของ secret หลักเปลี่ยน รวมถึงการหมุนเวียนค่า
- ตามประกาศ **13 พ.ย. 2026** ไม่ต้องแชร์ **KMS key** หรือเขียน cross-account secret policy ข้ามบัญชี ทีมกลางเป็นเจ้าของและหมุนเวียน secret ส่วนบัญชีที่ใช้งานได้สำเนาในบัญชีตัวเอง
- ฟีเจอร์ใช้ได้ **ทุก Region** ที่มี Secrets Manager ณ วันที่ **13 พ.ย. 2026** และสำเนาถูก **promote** เป็น secret แยกอิสระได้เมื่อจำเป็น โดยมี API ชื่อ AssociateCrossAccountReplica

Amazon Web Services ประกาศเมื่อ 13 พฤศจิกายน 2026 ว่า AWS Secrets Manager รองรับ Secrets Manager cross-account replication แล้ว ผู้ดูแลเก็บสำเนา secret หลักที่ซิงก์กันไว้ในบัญชี AWS อีกบัญชีได้ ใช้ทั้งเพื่อให้แอปในบัญชีอื่นเข้าถึง สำรองข้อมูล และกู้คืนระบบ โดยไม่ต้องแชร์ KMS key ข้ามบัญชี

![หน้าประกาศ AWS What's New เรื่อง Secrets Manager รองรับ cross-account replication ลงวันที่ 13 พฤศจิกายน 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secrets-manager-cross-account-replication/aws-whats-new-secrets-manager.webp?v=990d3c3b) _(ภาพ: Amazon Web Services (ภาพหน้าจอ))_

## Secrets Manager cross-account replication ทำงานอย่างไร

AWS ระบุว่าฟีเจอร์นี้ขยาย multi-Region replication ที่มีอยู่เดิมให้ข้ามขอบเขตบัญชีได้ ข้อมูลสำคัญตามประกาศมีดังนี้

- **สำเนาเป็นทรัพยากรอิสระ:** replica secret เป็นทรัพยากรเต็มรูปแบบ เข้ารหัสด้วย customer managed KMS key ที่บัญชีปลายทางเป็นเจ้าของ
- **อัปเดตเอง:** เมื่อค่าของ secret หลักเปลี่ยน Secrets Manager อัปเดตสำเนาให้อัตโนมัติ รวมถึงเมื่อมีการหมุนเวียนค่า
- **ไม่ต้องแชร์กุญแจ:** ไม่ต้องใช้ shared KMS key หรือ cross-account secret policy
- **เจ้าของกลาง ผู้ใช้หลายบัญชี:** ทีมแพลตฟอร์มหรือทีมความปลอดภัยเป็นเจ้าของและหมุนเวียน secret ที่ศูนย์กลาง ส่วนแต่ละบัญชีที่ใช้งานได้สำเนาในบัญชีตัวเองที่ตรงกับค่าล่าสุดเสมอ
- **เรียกใช้ผ่าน API:** ประกาศอ้างถึง API ชื่อ AssociateCrossAccountReplica และคู่มือ Replicate secrets across AWS accounts

![ช่างเทคนิคของ AWS สวมหมวกและแว่นนิรภัยทำงานหน้าตู้เซิร์ฟเวอร์ ภาพประกอบ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secrets-manager-cross-account-replication/aws-data-center-technician-racks.webp?v=b148a11b) _(ภาพ: Amazon)_

## Secrets Manager cross-account replication กับการกู้คืนระบบ

ประกาศยกกรณีใช้งานหนึ่งไว้ชัดเจนคือการใช้ Secrets Manager cross-account replication เก็บสำเนา secret สำคัญไว้ในบัญชีกู้คืนหรือบัญชี failover ที่แยกออกจากบัญชีหลัก AWS ระบุว่าบัญชีนั้นแยกจากแรนซัมแวร์หรือบัญชีหลักที่ถูกบุกรุก และเมื่อจำเป็นให้ promote สำเนาเป็น secret แยกอิสระได้

พูดให้เข้าใจง่ายคือ ถ้าบัญชี AWS หลักที่เก็บรหัสผ่านฐานข้อมูลและ API key ใช้งานไม่ได้ ทีมไม่ต้องไล่สร้างรหัสใหม่ทั้งหมดตอนวิกฤต เพราะมีสำเนาล่าสุดรออยู่อีกบัญชี ข้อควรระวังคือประกาศไม่ได้อธิบายว่า promote แล้วสำเนาและ secret หลักแยกจากกันอย่างไร จึงควรอ่านคู่มือและซ้อมขั้นตอนก่อนใช้จริง

![ทางเดินระหว่างตู้เซิร์ฟเวอร์ในดาต้าเซ็นเตอร์ AWS ภาพประกอบ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secrets-manager-cross-account-replication/aws-data-center-aisle.webp?v=9d4349ce) _(ภาพ: Amazon)_

## Region และราคาของ Secrets Manager cross-account replication

ประกาศระบุว่า Secrets Manager cross-account replication ใช้ได้ในทุก Region ที่ Secrets Manager เปิดให้บริการ และให้ดูรายชื่อในตาราง Region ของ AWS ส่วนค่าใช้จ่ายให้ดูหน้าราคาของ Secrets Manager หน้าราคาอธิบายว่าคิดตามจำนวนข้อมูลลับที่จัดเก็บและจำนวนการเรียกใช้ API ไม่มีค่าธรรมเนียมล่วงหน้า แต่ประกาศไม่ได้ระบุว่าสำเนาข้ามบัญชีคิดเงินอย่างไร จึงควรตรวจราคาก่อนทำสำเนาจำนวนมาก

![หน้าผลิตภัณฑ์ AWS Secrets Manager อธิบายการจัดเก็บและหมุนเวียนความลับของแอปพลิเคชัน](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secrets-manager-cross-account-replication/aws-secrets-manager-product-page.webp?v=6dce85b3) _(ภาพ: Amazon Web Services (ภาพหน้าจอ))_

## Secrets Manager cross-account replication ต่างจาก multi-Region replication อย่างไร

ตามประกาศ ความสามารถใหม่ต่อยอดจาก multi-Region replication ที่ทำสำเนาข้าม Region ภายในบัญชีเดียว ตารางนี้สรุปความต่างเท่าที่ประกาศระบุ

| ประเด็น | multi-Region replication เดิม | cross-account replication ใหม่ |
| --- | --- | --- |
| ขอบเขตของสำเนา | ข้าม Region | ข้ามขอบเขตบัญชี AWS |
| กุญแจเข้ารหัสของสำเนา | ประกาศไม่ได้ระบุ | customer managed KMS key ของบัญชีปลายทาง |
| การแชร์ KMS key และ secret policy ข้ามบัญชี | ประกาศไม่ได้ระบุ | ไม่ต้อง |
| ใช้เป็นบัญชีกู้คืน | ประกาศไม่ได้ระบุ | ใช่ แยกจากบัญชีหลักได้ |

ข้อสังเกตคือประกาศเน้นการแยกบัญชีเป็นประโยชน์หลัก องค์กรที่ต้องการทั้งสองแบบ คือข้าม Region และข้ามบัญชี ควรอ่านคู่มือว่าทำร่วมกันได้อย่างไร เพราะประกาศไม่ได้กล่าวถึง

![อาคารศูนย์ข้อมูลของ AWS หลังรั้วเหล็กริมถนนที่ Ashburn รัฐเวอร์จิเนีย ภาพประกอบ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secrets-manager-cross-account-replication/aws-ashburn-data-center-road.webp?v=6c8eb8ac) _(ภาพ: Vahurzpu / Wikimedia Commons (CC BY-SA 4.0))_

![ตู้เซิร์ฟเวอร์แถวยาวในห้องคอมพิวเตอร์ของ NOIRLab ภาพประกอบ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secrets-manager-cross-account-replication/noirlab-server-racks.webp?v=2d131901) _(ภาพ: NOIRLab/NSF/AURA/T. Slovinský / Wikimedia Commons (CC BY 4.0))_

## ผลต่อองค์กรไทย

องค์กรที่แยกบัญชี AWS ตามระบบหรือหน่วยงาน มักมี secret ชุดเดียวกันที่หลายบัญชีต้องใช้ เช่น รหัสผ่านฐานข้อมูลกลางหรือ API key ของคู่ค้า การเปิด Secrets Manager cross-account replication ช่วยลดการคัดลอกค่าด้วยมือและลดการแชร์กุญแจเข้ารหัสข้ามบัญชี สิ่งที่ควรทำมีดังนี้

- ระบุ secret ที่หลายบัญชีใช้ร่วมกันหรือที่ระบบกู้คืนต้องใช้ แล้วเลือกเริ่มจากกลุ่มเล็ก
- ตั้งบัญชีกู้คืนแยกจากบัญชีหลัก ใช้ผู้ดูแลและการยืนยันตัวตนคนละชุด เพื่อให้แยกจากเหตุที่กระทบบัญชีหลัก
- สร้าง customer managed KMS key ในบัญชีปลายทาง และกำหนดว่าใครใช้กุญแจนั้นได้
- ซ้อมการ promote สำเนาเป็น secret อิสระก่อนเกิดเหตุจริง และจดขั้นตอนที่แอปต้องสลับมาอ่านค่าจากสำเนา
- ตรวจค่าใช้จ่ายจากหน้าราคา เพราะประกาศไม่ได้ระบุราคาของการทำสำเนาข้ามบัญชี

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

บัญชีกู้คืนที่เก็บสำเนา secret ช่วยได้เมื่อรหัสผ่านและ API key ครบ แต่ข้อมูลจริงของระบบก็ต้องมีสำเนาแยกไว้ด้วย [On-Premise to Cloud Backup](https://thaidata.cloud/backup-on-premise-to-cloud/) ของ THAI DATA CLOUD สำรองข้อมูลจากเซิร์ฟเวอร์ในองค์กรขึ้นคลาวด์อย่างต่อเนื่อง ด้วย Continuous Data Protection และ Hybrid Cloud Backup เป็นอีกชั้นที่องค์กรวางคู่กับแผนกู้คืนได้ (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ติดตามข่าวคลาวด์เพิ่มเติมได้ที่[หมวดคลาวด์](/cloud/)

## คำถามที่พบบ่อย

### Secrets Manager cross-account replication คืออะไร?

ตามประกาศของ AWS เมื่อ 13 พ.ย. 2026 คือการเก็บสำเนา secret หลักที่ซิงก์กันไว้ในบัญชี AWS อีกบัญชี ใช้เข้าถึงข้ามบัญชี สำรองข้อมูล และกู้คืนระบบ ขยายความสามารถ multi-Region replication เดิมให้ข้ามขอบเขตบัญชีได้

### Secrets Manager cross-account replication ต้องแชร์ KMS key หรือไม่?

ไม่ต้อง AWS ระบุว่า Secrets Manager cross-account replication ไม่ต้องแชร์ KMS key และไม่ต้องใช้ cross-account secret policy สำเนาเข้ารหัสด้วย customer managed KMS key ของบัญชีปลายทางเอง และเป็นทรัพยากรอิสระเต็มรูปแบบ

### ค่า secret ที่หมุนเวียนแล้วถึงสำเนาในบัญชีอื่นหรือไม่?

ถึง AWS ระบุว่า Secrets Manager cross-account replication อัปเดตสำเนาให้อัตโนมัติทุกครั้งที่ค่าของ secret หลักเปลี่ยน รวมถึงตอนหมุนเวียนค่า ทำให้บัญชีที่ใช้งานมีสำเนาล่าสุดอยู่เสมอ ตามที่ประกาศอธิบายไว้

### ใช้ Secrets Manager cross-account replication กู้คืนระบบได้อย่างไร?

ใช้ Secrets Manager cross-account replication เก็บสำเนา secret สำคัญไว้ในบัญชีกู้คืนหรือบัญชี failover ที่แยกจากบัญชีหลัก เมื่อจำเป็นให้ promote สำเนาเป็น secret แยกอิสระ AWS ระบุว่าวิธีนี้แยกจากแรนซัมแวร์หรือบัญชีหลักที่ถูกบุกรุกได้


## แหล่งอ้างอิง

- [AWS Secrets Manager now supports cross-account replication](https://aws.amazon.com/about-aws/whats-new/2026/11/secrets-manager-cross-account/) — Amazon Web Services
- [AWS Secrets Manager pricing](https://aws.amazon.com/secrets-manager/pricing/) — Amazon Web Services