• Le AWS Systems Manager CloudWatch tableau de bord ne sera plus disponible après le 30 avril 2026. Les clients peuvent continuer à utiliser CloudWatch la console Amazon pour consulter, créer et gérer leurs CloudWatch tableaux de bord Amazon, comme ils le font aujourd'hui. Pour plus d'informations, consultez la documentation [ Amazon CloudWatch Dashboard](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html). 

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

# Restreindre l'accès à des paramètres et à des chemins spécifiques
<a name="ps-restrict-parameter-access"></a>

Utilisez l'approche suivante pour restreindre l'accès à un paramètre ou à un ensemble de paramètres. Cette approche reflète le comportement d'autorisation décrit dans[Comment ? Parameter Store autorise la récupération des paramètres](ps-retrieval-authorization.md).

**Pour restreindre l'accès à des paramètres ou à des chemins spécifiques**

1. **Préférez accorder un accès restreint plutôt que de refuser un accès large. ** Dans la mesure du possible, définissez `Allow` la portée sur le plus petit ensemble de paramètres dont un principal a besoin, plutôt que d'accorder un accès étendu puis de le soustraire. Une `Allow` instruction qui n'autorise jamais l'accès à un paramètre ne dépend pas de l'énumération correcte de chaque action.

1. **Séparez les paramètres sensibles dans leur propre chemin. ** Restreindre l'accès est plus simple lorsque les paramètres sensibles ne partagent pas le même chemin que les paramètres que les principaux utilisateurs sont autorisés à lire. Par exemple, stockez les valeurs restreintes sous `/myapp/restricted/` plutôt qu'à côté de la configuration générale sous`/myapp/config/`. Pour plus d'informations sur l'organisation des paramètres, consultez[Utilisation des hiérarchies de paramètres dans Parameter Store](sysman-paramstore-hierarchies.md).

1. **Lorsque vous refusez l'accès, refusez toute action susceptible de renvoyer la valeur. ** Incluez `ssm:GetParameter``ssm:GetParameters`,`ssm:GetParameterHistory`, et`ssm:GetParametersByPath`, ou utilisez `ssm:GetParameter*` pour faire correspondre les quatre.

1. **En effet`GetParametersByPath`, refusez le chemin de tous les ancêtres. ** Un refus sur le propre ARN du paramètre n'empêche pas le paramètre d'être renvoyé par un appel sur un chemin situé au-dessus de celui-ci. Pour protéger`/myapp/restricted/db-password`, nier `ssm:GetParametersByPath` pour `/myapp/restricted``/myapp`, et`/`.

1. **Pour `SecureString` les paramètres, limitez `kms:Decrypt` la touche KMS. ** La récupération d'une `SecureString` valeur déchiffrée nécessite une `kms:Decrypt` autorisation sur la clé qui l'a chiffrée, quelle que soit l'opération utilisée. Parameter Store Le refus empêche `kms:Decrypt` donc le déchiffrement via chaque chemin de récupération. Consultez [Restreindre le déchiffrement des valeurs des `SecureString` paramètres](ps-restrict-decryption.md).

1. **Vérifiez le résultat. ** Testez chaque opération de récupération en tant que principal restreint. Incluez un test `GetParametersByPath` par rapport à chaque chemin ancêtre pour confirmer que la politique se comporte comme vous le souhaitez. Vous pouvez également utiliser le simulateur de politique IAM [ pour évaluer une ](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_testing-policies.html) politique par rapport à des actions et à des ressources spécifiques.

Pour plus d'informations sur la façon dont IAM combine `Allow` et déclare, consultez `Deny` la section Logique d'évaluation des [ politiques ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) dans le guide de l'utilisateur * IAM. *