• El panel de AWS Systems Manager CloudWatch dejará de estar disponible después del 30 de abril de 2026. Los clientes pueden seguir utilizando la consola de Amazon CloudWatch para ver, crear y administrar sus paneles de Amazon CloudWatch, tal y como lo hacen actualmente. Para obtener más información, consulte la [documentación del panel de Amazon CloudWatch](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html). 

# Cómo Parameter Store autoriza la recuperación de parámetros
<a name="ps-retrieval-authorization"></a>

Cuatro operaciones de Parameter Store pueden devolver un valor de parámetro, y cada una se autoriza con su propia acción de IAM. Tres de ellas autorizan en función de los parámetros mencionados en la solicitud. `GetParametersByPath` es la excepción: autoriza en función de la ruta de la solicitud y no en función de los parámetros que devuelve.



| Operación | Acción de IAM autorizada | Recurso con el que se autoriza | 
| --- | --- | --- | 
| [GetParameter](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameter.html) | ssm:GetParameter | El parámetro solicitado | 
| [GetParameters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameters.html) | ssm:GetParameters | Cada parámetro solicitado | 
| [GetParameterHistory](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameterHistory.html) | ssm:GetParameterHistory | El parámetro solicitado | 
| [GetParametersByPath](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParametersByPath.html) | ssm:GetParametersByPath | La ruta especificada en la solicitud, no los parámetros devueltos | 

Dos consecuencias de este modelo son importantes a la hora de diseñar políticas restrictivas.

**Cada acción se autoriza de forma independiente**  
Parameter Store autoriza cada operación de recuperación con su propia acción de IAM. Denegar `ssm:GetParameter` no tiene ningún efecto en las llamadas a `ssm:GetParameters`, `ssm:GetParametersByPath` o `ssm:GetParameterHistory`. Para restringir el acceso a un valor de parámetro, deniegue todas las acciones que puedan devolverlo.

Como los nombres de las cuatro acciones comienzan por `GetParameter`, el patrón comodín `ssm:GetParameter*` los cubre en una sola sentencia. Para ver ejemplos, consulte [Denegar permisos](parameter-store-setting-up.md#sysman-paramstore-deny-permissions).

**`GetParametersByPath` está autorizado en la ruta solicitada**  
Esto significa que las denegaciones a nivel de recurso de un parámetro individual no limitan lo que devuelve una consulta de ruta. Si utiliza jerarquías de parámetros para separar los entornos o los niveles de aplicación, aplique los controles a las propias rutas.

**importante**  
Parameter Store autoriza la operación `GetParametersByPath` en función de la ruta que se especifique en la solicitud, no en función de cada parámetro devuelto por la operación. La entidad principal a la que se le permite llamar a `GetParametersByPath` para la ruta `/a` recibe todos los parámetros incluidos en esa ruta, como `/a/b`. Esto es cierto incluso si la misma política deniega explícitamente el acceso a `/a/b` para otras acciones.  
Para evitar que `GetParametersByPath` devuelva un parámetro, deniegue la acción `ssm:GetParametersByPath` en todas las rutas antecesoras que puedan incluir el parámetro en sus resultados. Por ejemplo, para evitar que se devuelva `/a/b`, deniegue `ssm:GetParametersByPath` tanto para `/a` como para `/`.

El mismo patrón se aplica a la eliminación. [DeleteParameters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DeleteParameters.html) está autorizado en `ssm:DeleteParameters`, no en `ssm:DeleteParameter`. Para evitar que una entidad principal elimine un parámetro, deniegue ambas acciones.

**nota**  
Las operaciones de Parameter Store se registran en AWS CloudTrail. Si desea revisar qué operaciones se utilizaron para recuperar un parámetro de su cuenta, consulte [Auditoría y registro de la actividad de Parameter Store](parameter-store-logging-auditing.md).