• Das AWS Systems Manager CloudWatch Dashboard wird nach dem 30. April 2026 nicht mehr verfügbar sein. Kunden können die CloudWatch Amazon-Konsole weiterhin verwenden, um ihre CloudWatch Amazon-Dashboards anzuzeigen, zu erstellen und zu verwalten, so wie sie es heute tun. Weitere Informationen finden Sie in der Amazon CloudWatch Dashboard-Dokumentation.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Einrichtung Parameter Store

Bevor Sie Parameter einrichtenParameter Store, konfigurieren Sie AWS Identity and Access Management (IAM-) Richtlinien, die den Principals in Ihrem Konto die Erlaubnis geben, die von Ihnen angegebenen Aktionen auszuführen.

In diesem Abschnitt erfahren Sie, wie Sie diese Richtlinien mithilfe der IAM-Konsole manuell konfigurieren und wie Sie sie Benutzern und Benutzergruppen zuweisen. Darüber hinaus können Sie Richtlinien erstellen und zuordnen, um zu steuern, welche Parameteraktionen auf einem verwalteten Knoten ausgeführt werden dürfen.

In diesem Abschnitt wird auch erklärt, wie Sie EventBridge Amazon-Regeln erstellen, mit denen Sie Benachrichtigungen über Änderungen der Systems Manager-Parameter erhalten können. Sie können EventBridge Regeln verwenden, um andere Aktionen auf der AWS Grundlage von Änderungen in Parameter Store aufzurufen.

Verwaltung des Zugriffs auf Parameter Store Parameter mithilfe von IAM-Richtlinien

Der IAM-Prinzipal, der auf AWS Systems Manager Parameter zugreift, muss über die Berechtigung verfügen, die erforderlichen SSM-Aktionen auszuführen. Der Prinzipal kann ein IAM-Benutzer, eine IAM-Rolle, ein Amazon EC2-Instance-Profil, eine Lambda-Ausführungsrolle, eine Amazon ECS-Aufgabenrolle, eine Servicerolle oder eine andere CodeBuild Servicerolle sein. AWS

In der folgenden Tabelle werden die IAM-Berechtigungen beschrieben, die für verschiedene Aktionen erforderlich sind. Parameter Store

Wenn Sie IAM-Richtlinien verwenden, um Zugriff auf Systems Manager-Parameter zu gewähren, empfehlen wir, restriktive IAM-Richtlinien zu erstellen und zu verwenden. Die folgende Richtlinie ermöglicht es beispielsweise einem Principal, die DescribeParameters und GetParameters API-Operationen für eine begrenzte Anzahl von Ressourcen aufzurufen. Der Prinzipal kann Informationen über alle Parameter abrufen und diese verwenden, die mit beginnenprod-*.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeParameters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameters"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/prod-*"
        }
    ]
}

Vertrauenswürdigen Administratoren können Sie mithilfe einer Richtlinie ähnlich dem folgenden Beispiel Zugriff auf alle API-Operationen für Systems Manager-Parameter gewähren. Mit dieser Richtlinie erhält der Benutzer vollen Zugriff auf alle Produktionsparameter, die mit dbserver-prod-* beginnen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter",
                "ssm:DeleteParameter",
                "ssm:GetParameterHistory",
                "ssm:GetParametersByPath",
                "ssm:GetParameters",
                "ssm:GetParameter",
                "ssm:DeleteParameters"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/dbserver-prod-*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeParameters",
            "Resource": "*"
        }
    ]
}

Verweigern von Berechtigungen

Jede API ist einzigartig und verfügt über unterschiedliche Operationen und Berechtigungen, die Sie einzeln zulassen oder verweigern können. Eine explizite Zugriffsverweigerung überschreibt jede Zugriffserlaubnis in einer Richtlinie.

Alle vier Namen für Abrufaktionen beginnen mitGetParameter, sodass der einzelne Eintrag die Begriffessm:GetParameter,, ssm:GetParameters und ssm:GetParameter* umfasst. ssm:GetParameterHistory ssm:GetParametersByPath Im folgenden Beispiel wird dieses Muster verwendet, um alle vier Aktionen für alle Parameter, die mit prod-* beginnen, abzulehnen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ssm:GetParameter*"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/prod-*"
        }
    ]
}

Das folgende Beispiel zeigt, wie einige Befehle verweigert werden, während der Benutzer andere Befehle für alle Parameter ausführen kann, die mit prod-* beginnen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ssm:PutParameter",
                "ssm:DeleteParameter",
                "ssm:DeleteParameters",
                "ssm:DescribeParameters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParametersByPath",
                "ssm:GetParameters",
                "ssm:GetParameter",
                "ssm:GetParameterHistory"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/prod-*"
        }
    ]
}

Das gleiche Verhalten gilt für das Löschen. ssm:DeleteParametersist unabhängig von autorisiert. Nur ssm:DeleteParameter das Ablehnen verhindert also nichtssm:DeleteParameter, dass ein Prinzipal den Parameter zusammen mit der DeleteParameters Operation löscht. Lehnen Sie beide Aktionen ab oder verwenden Sie das Musterssm:DeleteParameter*.

Verschlüsseln und Entschlüsseln von Parametern mit AWS KMS keys

Parameter StoreSecureStringParameter verwenden AWS KMS Schlüssel für die Verschlüsselung. AWS KMS verschlüsselt den Wert entweder mithilfe eines Von AWS verwalteter Schlüssel oder eines vom Kunden verwalteten Schlüssels. Weitere Informationen zu AWS KMS und AWS KMS key finden Sie im AWS Key Management Service Entwicklerhandbuch .

Alle Benutzer innerhalb des Kundenkontos haben Zugriff auf den standardmäßig AWS verwalteten Schlüssel. Den Amazon-Ressourcennamen (ARN) des Standardschlüssels finden Sie in der AWS KMS Konsole auf der Seite mit AWS verwalteten Schlüsseln. Der Standardschlüssel wird mit aws/ssm in der Spalte Alias identifiziert. Möglicherweise möchten Sie den Standardschlüssel verwenden, um SecureString Parameter zu verschlüsseln und gleichzeitig zu verhindern, dass Benutzer mit SecureString Parametern arbeiten. In diesem Fall müssen die IAM-Richtlinien den Zugriff auf den Standardschlüssel explizit verweigern, wie das folgende Richtlinienbeispiel zeigt.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111122223333:key/abcd1234-ab12-cd34-ef56-abcdeEXAMPLE"
            ]
        }
    ]
}

Bei Verwendung eines vom Kunden verwalteten Schlüssels muss die IAM-Richtlinie, die einem Prinzipal Zugriff auf einen Parameter oder Parameterpfad gewährt, explizite kms:Encrypt Berechtigungen für den Schlüssel vorsehen. Die folgende Richtlinie ermöglicht es beispielsweise einem Prinzipal, SecureString Parameter zu erstellen, zu aktualisieren und anzuzeigen, die mit prod- dem angegebenen AWS-Region und AWS-Konto beginnen.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter",
                "ssm:GetParameter",
                "ssm:GetParameters"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:parameter/prod-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-12345EXAMPLE"
            ]
        }
    ]
}

Wenn Sie eine detaillierte Zugriffskontrolle für die SecureString Parameter in Ihrem Konto benötigen, verwenden Sie einen vom Kunden verwalteten Schlüssel, um den Zugriff auf diese Parameter zu schützen und einzuschränken. Wir empfehlen auch, ihn AWS CloudTrail zur Überwachung der SecureString Parameteraktivitäten zu verwenden.

Weitere Informationen finden Sie unter den folgenden Themen:

Erlaubt verwalteten Knoten den Zugriff auf bestimmte Parameter

Um zu steuern, welche Parameter Store Parameter ein verwalteter Knoten abrufen kann, können Sie der Instanzrolle eine IAM-Richtlinie hinzufügen. Wenn Sie den SecureString Parametertyp bei der Erstellung Ihres Parameters auswählen, verwendet Systems Manager ihn AWS KMS zum Verschlüsseln des Parameterwerts. Sie können das anzeigen, Von AWS verwalteter Schlüssel indem Sie den folgenden Befehl in der AWS CLI ausführen.

aws kms describe-key --key-id alias/aws/ssm

Im folgenden Beispiel dürfen Knoten einen Parameterwert nur für Parameter abrufen, die mit prod- beginnen. Wenn der Parameter ein SecureString-Parameter ist, entschlüsselt der Knoten die Zeichenfolge mit AWS KMS.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameters"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:parameter/prod-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111122223333:key/4914ec06-e888-4ea5-a371-5b88eEXAMPLE"
            ]
        }
    ]
}