• Le AWS Systems Manager CloudWatch tableau de bord ne sera plus disponible après le 30 avril 2026. Les clients peuvent continuer à utiliser CloudWatch la console Amazon pour consulter, créer et gérer leurs CloudWatch tableaux de bord Amazon, comme ils le font aujourd'hui. Pour plus d'informations, consultez la documentation Amazon CloudWatch Dashboard.
Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Comment ? Parameter Store autorise la récupération des paramètres
Quatre Parameter Store opérations peuvent renvoyer une valeur de paramètre et chacune est autorisée pour sa propre action IAM. Trois d'entre eux autorisent en fonction des paramètres indiqués dans la demande. GetParametersByPathest l'exception : il autorise en fonction du chemin indiqué dans la requête plutôt qu'en fonction des paramètres qu'il renvoie.
| Opération | Action IAM autorisée | Ressource autorisée pour |
|---|---|---|
| GetParameter | ssm:GetParameter |
Le paramètre demandé |
| GetParameters | ssm:GetParameters |
Chaque paramètre demandé |
| GetParameterHistory | ssm:GetParameterHistory |
Le paramètre demandé |
| GetParametersByPath | ssm:GetParametersByPath |
Le chemin spécifié dans la demande, pas les paramètres renvoyés |
Deux conséquences de ce modèle sont importantes lorsque vous concevez des politiques restrictives.
Chaque action est autorisée indépendamment
Parameter Storeautorise chaque opération de récupération par rapport à sa propre action IAM. ssm:GetParameterLe refus n'a aucun effet sur les appels vers ssm:GetParametersssm:GetParametersByPath, oussm:GetParameterHistory. Pour restreindre l'accès à la valeur d'un paramètre, refusez toute action susceptible de la renvoyer.
Comme les noms des quatre actions commencent parGetParameter, le motif générique les ssm:GetParameter* couvre dans une seule instruction. Pour obtenir des exemples, consultez Refuser des autorisations.
GetParametersByPathest autorisé par rapport au chemin demandé
Cela signifie que les refus au niveau des ressources sur un paramètre individuel ne limitent pas ce que renvoie une requête de chemin. Si vous utilisez des hiérarchies de paramètres pour séparer des environnements ou des niveaux d'application, appliquez vos contrôles aux chemins eux-mêmes.
Important
Parameter Storeautorise l'GetParametersByPathopération par rapport au chemin que vous spécifiez dans la demande, et non par rapport à chaque paramètre renvoyé par l'opération. Un principal autorisé à appeler GetParametersByPath le chemin /a reçoit tous les paramètres de ce chemin, y compris/a/b. Cela est vrai même si la même politique refuse explicitement l'accès à /a/b pour d'autres actions.
Pour empêcher le renvoi d'un paramètre parGetParametersByPath, refusez l'ssm:GetParametersByPathaction sur chaque chemin ancêtre susceptible d'inclure le paramètre dans ses résultats. Par exemple, pour /a/b empêcher le renvoi, refusez ssm:GetParametersByPath à la fois /a et/.
Le même schéma s'applique à la suppression. DeleteParametersest autorisé contressm:DeleteParameters, pas contressm:DeleteParameter. Pour empêcher un principal de supprimer un paramètre, refusez les deux actions.
Note
Parameter Storeles opérations sont enregistrées dans AWS CloudTrail. Si vous souhaitez consulter les opérations qui ont été utilisées pour récupérer un paramètre dans votre compte, consultezAudit et journalisation de l'activité de Parameter Store.
