Restricción del descifrado de los valores de los parámetros SecureString
El valor de un parámetro SecureString se cifra con una clave AWS KMS. Cualquier entidad principal que recupere el valor descifrado debe tener permiso kms:Decrypt para utilizar esa clave, sea cual sea la operación de Parameter Store a la que se recurra. Esto convierte los permisos de clave de AWS KMS en un control eficaz de los parámetros de SecureString, ya que una única instrucción de política de AWS KMS se aplica a todas las rutas de recuperación a la vez.
Para utilizar este control de forma eficaz, cifre los parámetros confidenciales con una clave administrada por el cliente en lugar de con la Clave administrada de AWS.
importante
El Clave administrada de AWS para Parameter Store (aws/ssm) concede permiso Decrypt a todas las entidades de seguridad de IAM en la Cuenta de AWS. Si necesita distintos niveles de acceso a los parámetros SecureString de una cuenta, no los cifre con la clave predeterminada.
Para ver ejemplos de políticas de claves, incluido cómo denegar el acceso a Clave administrada de AWS y cómo conceder acceso a una clave administrada por el cliente, consulte Cifrado y descifrado de parámetros mediante claves de AWS KMS.
nota
La restricción kms:Decrypt impide que la entidad principal lea un valor cifrado. No oculta el nombre, la descripción u otros metadatos del parámetro, que no están cifrados, y no impide que el parámetro aparezca en la lista. Utilice las denegaciones de acciones de Parameter Store tal y como se describe en Restricción del acceso a parámetros y rutas específicos para controlarlas.
