• Das AWS Systems Manager CloudWatch Dashboard wird nach dem 30. April 2026 nicht mehr verfügbar sein. Kunden können die CloudWatch Amazon-Konsole weiterhin verwenden, um ihre CloudWatch Amazon-Dashboards anzuzeigen, zu erstellen und zu verwalten, so wie sie es heute tun. Weitere Informationen finden Sie in der Amazon CloudWatch Dashboard-Dokumentation.
Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Wie Parameter Store autorisiert den Parameterabruf
Vier Parameter Store Operationen können einen Parameterwert zurückgeben, und jeder Vorgang wird anhand seiner eigenen IAM-Aktion autorisiert. Drei von ihnen autorisieren anhand der in der Anfrage genannten Parameter. GetParametersByPathist die Ausnahme: Die Autorisierung erfolgt anhand des Pfads in der Anfrage und nicht anhand der zurückgegebenen Parameter.
| Operation | IAM-Aktion autorisiert | Ressource wurde autorisiert gegen |
|---|---|---|
| GetParameter | ssm:GetParameter |
Der angeforderte Parameter |
| GetParameters | ssm:GetParameters |
Jeder angeforderte Parameter |
| GetParameterHistory | ssm:GetParameterHistory |
Der angeforderte Parameter |
| GetParametersByPath | ssm:GetParametersByPath |
Der in der Anfrage angegebene Pfad, nicht die zurückgegebenen Parameter |
Zwei Konsequenzen dieses Modells sind wichtig, wenn Sie restriktive Richtlinien entwerfen.
Jede Aktion wird unabhängig autorisiert
Parameter Storeautorisiert jeden Abrufvorgang anhand seiner eigenen IAM-Aktion. Das Ablehnen ssm:GetParameter hat keine Auswirkung auf Aufrufe von,ssm:GetParameters, oder. ssm:GetParametersByPath ssm:GetParameterHistory Um den Zugriff auf einen Parameterwert einzuschränken, verweigern Sie jede Aktion, die ihn zurückgeben kann.
Da alle vier Aktionsnamen mit 1 beginnenGetParameter, werden sie vom ssm:GetParameter* Platzhaltermuster in einer einzigen Anweisung zusammengefasst. Beispiele finden Sie unter Verweigern von Berechtigungen.
GetParametersByPathist für den angeforderten Pfad autorisiert
Das bedeutet, dass die Ablehnung eines einzelnen Parameters auf Ressourcenebene nicht einschränkt, was eine Pfadabfrage zurückgibt. Wenn Sie Parameterhierarchien verwenden, um Umgebungen oder Anwendungsebenen zu trennen, wenden Sie Ihre Steuerelemente auf die Pfade selbst an.
Wichtig
Parameter Storeautorisiert den GetParametersByPath Vorgang für den Pfad, den Sie in der Anforderung angeben, nicht für jeden Parameter, den der Vorgang zurückgibt. Ein Principal, der den Pfad aufrufen GetParametersByPath darf, /a erhält alle Parameter unter diesem Pfad, einschließlich/a/b. Dies gilt auch dann, wenn dieselbe Richtlinie den Zugriff auf /a/b andere Aktionen ausdrücklich verweigert.
Um zu verhindern, dass ein Parameter zurückgegeben wirdGetParametersByPath, lehnen Sie die ssm:GetParametersByPath Aktion auf jedem Vorgängerpfad ab, der den Parameter in den Ergebnissen enthalten könnte. Um beispielsweise zu /a/b verhindern, dass eine Rückgabe erfolgt, verweigern ssm:GetParametersByPath Sie /a sowohl / als auch.
Das gleiche Muster gilt für das Löschen. DeleteParametersist gegenssm:DeleteParameters, nicht dagegen autorisiertssm:DeleteParameter. Um zu verhindern, dass ein Prinzipal einen Parameter löscht, lehnen Sie beide Aktionen ab.
Anmerkung
Parameter StoreOperationen werden in aufgezeichnet AWS CloudTrail. Wenn Sie überprüfen möchten, welche Operationen zum Abrufen eines Parameters in Ihrem Konto verwendet wurden, finden Sie unterPrüfen und Protokollieren von Parameter Store-Aktivitäten.
