• El panel de AWS Systems Manager CloudWatch dejará de estar disponible después del 30 de abril de 2026. Los clientes pueden seguir utilizando la consola de Amazon CloudWatch para ver, crear y administrar sus paneles de Amazon CloudWatch, tal y como lo hacen actualmente. Para obtener más información, consulte la [documentación del panel de Amazon CloudWatch](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html). 

# Restricción del descifrado de los valores de los parámetros `SecureString`
<a name="ps-restrict-decryption"></a>

El valor de un parámetro `SecureString` se cifra con una clave AWS KMS. Cualquier entidad principal que recupere el valor descifrado debe tener permiso `kms:Decrypt` para utilizar esa clave, sea cual sea la operación de Parameter Store a la que se recurra. Esto convierte los permisos de clave de AWS KMS en un control eficaz de los parámetros de `SecureString`, ya que una única instrucción de política de AWS KMS se aplica a todas las rutas de recuperación a la vez.

Para utilizar este control de forma eficaz, cifre los parámetros confidenciales con una clave administrada por el cliente en lugar de con la Clave administrada de AWS.

**importante**  
El Clave administrada de AWS para Parameter Store (`aws/ssm`) concede permiso `Decrypt` a todas las entidades de seguridad de IAM en la Cuenta de AWS. Si necesita distintos niveles de acceso a los parámetros `SecureString` de una cuenta, no los cifre con la clave predeterminada.

Para ver ejemplos de políticas de claves, incluido cómo denegar el acceso a Clave administrada de AWS y cómo conceder acceso a una clave administrada por el cliente, consulte [Cifrado y descifrado de parámetros mediante claves de AWS KMS](parameter-store-setting-up.md#ps-kms-permissions).

**nota**  
La restricción `kms:Decrypt` impide que la entidad principal lea un *valor* cifrado. No oculta el nombre, la descripción u otros metadatos del parámetro, que no están cifrados, y no impide que el parámetro aparezca en la lista. Utilice las denegaciones de acciones de Parameter Store tal y como se describe en [Restricción del acceso a parámetros y rutas específicos](ps-restrict-parameter-access.md) para controlarlas.