View a markdown version of this page

Restreindre l'accès à des paramètres et à des chemins spécifiques - AWS Systems Manager

• Le AWS Systems Manager CloudWatch tableau de bord ne sera plus disponible après le 30 avril 2026. Les clients peuvent continuer à utiliser CloudWatch la console Amazon pour consulter, créer et gérer leurs CloudWatch tableaux de bord Amazon, comme ils le font aujourd'hui. Pour plus d'informations, consultez la documentation Amazon CloudWatch Dashboard.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Restreindre l'accès à des paramètres et à des chemins spécifiques

Utilisez l'approche suivante pour restreindre l'accès à un paramètre ou à un ensemble de paramètres. Cette approche reflète le comportement d'autorisation décrit dansComment ? Parameter Store autorise la récupération des paramètres.

Pour restreindre l'accès à des paramètres ou à des chemins spécifiques

  1. Préférez accorder un accès restreint plutôt que de refuser un accès large. Dans la mesure du possible, définissez Allow la portée sur le plus petit ensemble de paramètres dont un principal a besoin, plutôt que d'accorder un accès étendu puis de le soustraire. Une Allow instruction qui n'autorise jamais l'accès à un paramètre ne dépend pas de l'énumération correcte de chaque action.

  2. Séparez les paramètres sensibles dans leur propre chemin. Restreindre l'accès est plus simple lorsque les paramètres sensibles ne partagent pas le même chemin que les paramètres que les principaux utilisateurs sont autorisés à lire. Par exemple, stockez les valeurs restreintes sous /myapp/restricted/ plutôt qu'à côté de la configuration générale sous/myapp/config/. Pour plus d'informations sur l'organisation des paramètres, consultezUtilisation des hiérarchies de paramètres dans Parameter Store.

  3. Lorsque vous refusez l'accès, refusez toute action susceptible de renvoyer la valeur. Incluez ssm:GetParameterssm:GetParameters,ssm:GetParameterHistory, etssm:GetParametersByPath, ou utilisez ssm:GetParameter* pour faire correspondre les quatre.

  4. En effetGetParametersByPath, refusez le chemin de tous les ancêtres. Un refus sur le propre ARN du paramètre n'empêche pas le paramètre d'être renvoyé par un appel sur un chemin situé au-dessus de celui-ci. Pour protéger/myapp/restricted/db-password, nier ssm:GetParametersByPath pour /myapp/restricted/myapp, et/.

  5. Pour SecureString les paramètres, limitez kms:Decrypt la touche KMS. La récupération d'une SecureString valeur déchiffrée nécessite une kms:Decrypt autorisation sur la clé qui l'a chiffrée, quelle que soit l'opération utilisée. Parameter Store Le refus empêche kms:Decrypt donc le déchiffrement via chaque chemin de récupération. Consultez Restreindre le déchiffrement des valeurs des SecureString paramètres.

  6. Vérifiez le résultat. Testez chaque opération de récupération en tant que principal restreint. Incluez un test GetParametersByPath par rapport à chaque chemin ancêtre pour confirmer que la politique se comporte comme vous le souhaitez. Vous pouvez également utiliser le simulateur de politique IAM pour évaluer une politique par rapport à des actions et à des ressources spécifiques.

Pour plus d'informations sur la façon dont IAM combine Allow et déclare, consultez Deny la section Logique d'évaluation des politiques dans le guide de l'utilisateur IAM.