Limitazione dell'accesso a parametri e percorsi specifici

Per limitare l'accesso a parametri o percorsi specifici

1. Preferisci concedere un accesso ristretto piuttosto che negare un accesso ampio. Ove possibile, Allow riduci le istruzioni al set più piccolo di parametri di cui un principale ha bisogno, anziché concedere un ampio accesso e quindi sottrarre da esso. Un'Allowistruzione che non concede mai l'accesso a un parametro non dipende dalla corretta enumerazione di ogni azione.

2. Separate i parametri sensibili in un percorso separato. La limitazione dell'accesso è più semplice quando i parametri sensibili non condividono un percorso con parametri che i principali sono autorizzati a leggere. Ad esempio, memorizza i valori limitati in /myapp/restricted/ anziché accanto alla configurazione generale in. /myapp/config/ Per ulteriori informazioni sull'organizzazione dei parametri, vedereUtilizzo delle gerarchie di parametri in Parameter Store.

3. Quando neghi l'accesso, nega ogni azione che può restituire il valore. Includi ssm:GetParameterssm:GetParameters, ssm:GetParameterHistoryssm:GetParametersByPath, e o usa ssm:GetParameter* per abbinare tutti e quattro.

4. PerchéGetParametersByPath, nega ogni percorso degli antenati. Un rifiuto sull'ARN del parametro non impedisce che il parametro venga restituito da una chiamata su un percorso sopra di esso. Proteggere/myapp/restricted/db-password, negare ssm:GetParametersByPath per/myapp/restricted, e/myapp. /

5. Per SecureString i parametri, limita kms:Decrypt la chiave KMS. Il recupero di un SecureString valore decrittografato richiede l'kms:Decryptautorizzazione sulla chiave che lo ha crittografato, indipendentemente dall'operazione utilizzata. Parameter Store La negazione impedisce kms:Decrypt quindi la decrittografia attraverso ogni percorso di recupero. Consulta Limitazione della decrittografia dei valori dei parametri SecureString.

6. Verifica il risultato. Verifica ogni operazione di recupero come principale limitato. Includi un test GetParametersByPath rispetto a ciascun percorso precedente per confermare che la policy si comporti come previsto. Puoi anche utilizzare il simulatore di policy IAM per valutare una policy rispetto ad azioni e risorse specifiche.