Cómo Parameter Store autoriza la recuperación de parámetros
Cuatro operaciones de Parameter Store pueden devolver un valor de parámetro, y cada una se autoriza con su propia acción de IAM. Tres de ellas autorizan en función de los parámetros mencionados en la solicitud. GetParametersByPath es la excepción: autoriza en función de la ruta de la solicitud y no en función de los parámetros que devuelve.
| Operación | Acción de IAM autorizada | Recurso con el que se autoriza |
|---|---|---|
| GetParameter | ssm:GetParameter |
El parámetro solicitado |
| GetParameters | ssm:GetParameters |
Cada parámetro solicitado |
| GetParameterHistory | ssm:GetParameterHistory |
El parámetro solicitado |
| GetParametersByPath | ssm:GetParametersByPath |
La ruta especificada en la solicitud, no los parámetros devueltos |
Dos consecuencias de este modelo son importantes a la hora de diseñar políticas restrictivas.
Cada acción se autoriza de forma independiente
Parameter Store autoriza cada operación de recuperación con su propia acción de IAM. Denegar ssm:GetParameter no tiene ningún efecto en las llamadas a ssm:GetParameters, ssm:GetParametersByPath o ssm:GetParameterHistory. Para restringir el acceso a un valor de parámetro, deniegue todas las acciones que puedan devolverlo.
Como los nombres de las cuatro acciones comienzan por GetParameter, el patrón comodín ssm:GetParameter* los cubre en una sola sentencia. Para ver ejemplos, consulte Denegar permisos.
GetParametersByPath está autorizado en la ruta solicitada
Esto significa que las denegaciones a nivel de recurso de un parámetro individual no limitan lo que devuelve una consulta de ruta. Si utiliza jerarquías de parámetros para separar los entornos o los niveles de aplicación, aplique los controles a las propias rutas.
importante
Parameter Store autoriza la operación GetParametersByPath en función de la ruta que se especifique en la solicitud, no en función de cada parámetro devuelto por la operación. La entidad principal a la que se le permite llamar a GetParametersByPath para la ruta /a recibe todos los parámetros incluidos en esa ruta, como /a/b. Esto es cierto incluso si la misma política deniega explícitamente el acceso a /a/b para otras acciones.
Para evitar que GetParametersByPath devuelva un parámetro, deniegue la acción ssm:GetParametersByPath en todas las rutas antecesoras que puedan incluir el parámetro en sus resultados. Por ejemplo, para evitar que se devuelva /a/b, deniegue ssm:GetParametersByPath tanto para /a como para /.
El mismo patrón se aplica a la eliminación. DeleteParameters está autorizado en ssm:DeleteParameters, no en ssm:DeleteParameter. Para evitar que una entidad principal elimine un parámetro, deniegue ambas acciones.
nota
Las operaciones de Parameter Store se registran en AWS CloudTrail. Si desea revisar qué operaciones se utilizaron para recuperar un parámetro de su cuenta, consulte Auditoría y registro de la actividad de Parameter Store.
