• Le AWS Systems Manager CloudWatch tableau de bord ne sera plus disponible après le 30 avril 2026. Les clients peuvent continuer à utiliser CloudWatch la console Amazon pour consulter, créer et gérer leurs CloudWatch tableaux de bord Amazon, comme ils le font aujourd'hui. Pour plus d'informations, consultez la documentation [ Amazon CloudWatch Dashboard](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html). 

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

# Comment ? Parameter Store autorise la récupération des paramètres
<a name="ps-retrieval-authorization"></a>

Quatre Parameter Store opérations peuvent renvoyer une valeur de paramètre et chacune est autorisée pour sa propre action IAM. Trois d'entre eux autorisent en fonction des paramètres indiqués dans la demande. `GetParametersByPath`est l'exception : il autorise en fonction du chemin indiqué dans la requête plutôt qu'en fonction des paramètres qu'il renvoie.



| Opération | Action IAM autorisée | Ressource autorisée pour | 
| --- | --- | --- | 
| [GetParameter](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameter.html) | ssm:GetParameter | Le paramètre demandé | 
| [GetParameters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameters.html) | ssm:GetParameters | Chaque paramètre demandé | 
| [GetParameterHistory](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameterHistory.html) | ssm:GetParameterHistory | Le paramètre demandé | 
| [GetParametersByPath](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParametersByPath.html) | ssm:GetParametersByPath | Le chemin spécifié dans la demande,  pas  les paramètres renvoyés | 

Deux conséquences de ce modèle sont importantes lorsque vous concevez des politiques restrictives.

**Chaque action est autorisée indépendamment**  
Parameter Storeautorise chaque opération de récupération par rapport à sa propre action IAM. `ssm:GetParameter`Le refus n'a aucun effet sur les appels vers `ssm:GetParameters``ssm:GetParametersByPath`, ou`ssm:GetParameterHistory`. Pour restreindre l'accès à la valeur d'un paramètre, refusez toute action susceptible de la renvoyer.

Comme les noms des quatre actions commencent par`GetParameter`, le motif générique les `ssm:GetParameter*` couvre dans une seule instruction. Pour obtenir des exemples, consultez [Refuser des autorisations](parameter-store-setting-up.md#sysman-paramstore-deny-permissions).

**`GetParametersByPath`est autorisé par rapport au chemin demandé**  
Cela signifie que les refus au niveau des ressources sur un paramètre individuel ne limitent pas ce que renvoie une requête de chemin. Si vous utilisez des hiérarchies de paramètres pour séparer des environnements ou des niveaux d'application, appliquez vos contrôles aux chemins eux-mêmes.

**Important**  
Parameter Storeautorise l'`GetParametersByPath`opération par rapport au chemin que vous spécifiez dans la demande, et non par rapport à chaque paramètre renvoyé par l'opération. Un principal autorisé à appeler `GetParametersByPath` le chemin `/a` reçoit tous les paramètres de ce chemin, y compris`/a/b`. Cela est vrai même si la même politique refuse explicitement l'accès à `/a/b` pour d'autres actions.  
Pour empêcher le renvoi d'un paramètre par`GetParametersByPath`, refusez l'`ssm:GetParametersByPath`action sur chaque chemin ancêtre susceptible d'inclure le paramètre dans ses résultats. Par exemple, pour `/a/b` empêcher le renvoi, refusez `ssm:GetParametersByPath` à la fois `/a` et`/`.

Le même schéma s'applique à la suppression. [DeleteParameters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DeleteParameters.html)est autorisé contre`ssm:DeleteParameters`, pas contre`ssm:DeleteParameter`. Pour empêcher un principal de supprimer un paramètre, refusez les deux actions.

**Note**  
Parameter Storeles opérations sont enregistrées dans AWS CloudTrail. Si vous souhaitez consulter les opérations qui ont été utilisées pour récupérer un paramètre dans votre compte, consultez[Audit et journalisation de l'activité de Parameter Store](parameter-store-logging-auditing.md).