• Das AWS Systems Manager CloudWatch Dashboard wird nach dem 30. April 2026 nicht mehr verfügbar sein. Kunden können die CloudWatch Amazon-Konsole weiterhin verwenden, um ihre CloudWatch Amazon-Dashboards anzuzeigen, zu erstellen und zu verwalten, so wie sie es heute tun. Weitere Informationen finden Sie in der [ Amazon CloudWatch Dashboard-Dokumentation](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html). 

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

# Beschränkung des Zugriffs auf bestimmte Parameter und Pfade
<a name="ps-restrict-parameter-access"></a>

Verwenden Sie den folgenden Ansatz, um den Zugriff auf einen Parameter oder eine Gruppe von Parametern einzuschränken. Dieser Ansatz spiegelt das unter beschriebene Autorisierungsverhalten wider[Wie Parameter Store autorisiert den Parameterabruf](ps-retrieval-authorization.md).

**Um den Zugriff auf bestimmte Parameter oder Pfade einzuschränken**

1. **Gewähren Sie lieber einen engen Zugang als den Verweigern eines breiten Zugangs. ** Wenn möglich, beschränken Sie `Allow` Aussagen auf den kleinsten Parametersatz, den ein Schulleiter benötigt, anstatt einen breiten Zugriff zu gewähren und dann davon abzuziehen. Eine `Allow` Anweisung, die niemals Zugriff auf einen Parameter gewährt, hängt nicht davon ab, dass Sie jede Aktion korrekt aufzählen.

1. **Trennen Sie sensible Parameter in ihren eigenen Pfad. ** Das Beschränken des Zugriffs ist einfacher, wenn vertrauliche Parameter keinen Pfad mit Parametern teilen, die Hauptbenutzer lesen dürfen. Speichern Sie beispielsweise eingeschränkte Werte unter `/myapp/restricted/` statt neben der allgemeinen Konfiguration unter. `/myapp/config/` Weitere Hinweise zum Organisieren von Parametern finden Sie unter[Arbeiten mit Parameterhierarchien in Parameter Store](sysman-paramstore-hierarchies.md).

1. **Wenn Sie den Zugriff verweigern, verweigern Sie jede Aktion, die den Wert zurückgeben kann. ** Schließen Sie`ssm:GetParameter`,`ssm:GetParameters`, und`ssm:GetParameterHistory`, ein`ssm:GetParametersByPath`, oder verwenden Sie, `ssm:GetParameter*` um alle vier zu finden.

1. **Denn `GetParametersByPath` leugne jeden Ahnenpfad. ** Ein Deny für den eigenen ARN des Parameters verhindert nicht, dass der Parameter durch einen Aufruf für einen darüber liegenden Pfad zurückgegeben wird. Zum Schützen`/myapp/restricted/db-password`, Ablehnen `ssm:GetParametersByPath` für `/myapp/restricted``/myapp`, und`/`.

1. **Beschränken Sie `kms:Decrypt` bei `SecureString` Parametern den KMS-Schlüssel. ** Das Abrufen eines entschlüsselten `SecureString` Werts erfordert die `kms:Decrypt` Genehmigung des Schlüssels, mit dem er verschlüsselt wurde, unabhängig davon, welche Parameter Store Operation verwendet wird. Das Verweigern verhindert `kms:Decrypt` daher die Entschlüsselung über jeden Abrufpfad. Siehe [Einschränkung der Entschlüsselung von Parameterwerten `SecureString`](ps-restrict-decryption.md).

1. **Überprüfen Sie das Ergebnis. ** Testen Sie jeden Abrufvorgang als eingeschränkten Prinzipal. Führen Sie einen Test mit jedem `GetParametersByPath` Vorgängerpfad durch, um sicherzustellen, dass sich die Richtlinie wie gewünscht verhält. Sie können den [IAM-Richtliniensimulator auch verwenden,](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_testing-policies.html) um eine Richtlinie anhand bestimmter Aktionen und Ressourcen zu bewerten.

Weitere Informationen zur Kombination von `Deny` IAM-Anweisungen `Allow` und -Anweisungen finden Sie [im *IAM-Benutzerhandbuch unter Logik zur*](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) Richtlinienevaluierung.