• La AWS Systems Manager CloudWatch dashboard non sarà più disponibile dopo il 30 aprile 2026. I clienti possono continuare a utilizzare la CloudWatch console Amazon per visualizzare, creare e gestire le proprie CloudWatch dashboard Amazon, proprio come fanno oggi. Per ulteriori informazioni, consulta la documentazione [ di ](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html) Amazon CloudWatch Dashboard. 

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

# Limitazione dell'accesso a parametri e percorsi specifici
<a name="ps-restrict-parameter-access"></a>

Utilizza il seguente approccio per limitare l'accesso a un parametro o a un set di parametri. Questo approccio riflette il comportamento di autorizzazione descritto in[In che modo Parameter Store autorizza il recupero dei parametri](ps-retrieval-authorization.md).

**Per limitare l'accesso a parametri o percorsi specifici**

1. **Preferisci concedere un accesso ristretto piuttosto che negare un accesso ampio. ** Ove possibile, `Allow` riduci le istruzioni al set più piccolo di parametri di cui un principale ha bisogno, anziché concedere un ampio accesso e quindi sottrarre da esso. Un'`Allow`istruzione che non concede mai l'accesso a un parametro non dipende dalla corretta enumerazione di ogni azione.

1. **Separate i parametri sensibili in un percorso separato. ** La limitazione dell'accesso è più semplice quando i parametri sensibili non condividono un percorso con parametri che i principali sono autorizzati a leggere. Ad esempio, memorizza i valori limitati in `/myapp/restricted/` anziché accanto alla configurazione generale in. `/myapp/config/` Per ulteriori informazioni sull'organizzazione dei parametri, vedere[Utilizzo delle gerarchie di parametri in Parameter Store](sysman-paramstore-hierarchies.md).

1. **Quando neghi l'accesso, nega ogni azione che può restituire il valore. ** Includi `ssm:GetParameter``ssm:GetParameters`, `ssm:GetParameterHistory``ssm:GetParametersByPath`, e o usa `ssm:GetParameter*` per abbinare tutti e quattro.

1. **Perché`GetParametersByPath`, nega ogni percorso degli antenati. ** Un rifiuto sull'ARN del parametro non impedisce che il parametro venga restituito da una chiamata su un percorso sopra di esso. Proteggere`/myapp/restricted/db-password`, negare `ssm:GetParametersByPath` per`/myapp/restricted`, e`/myapp`. `/`

1. **Per `SecureString` i parametri, limita `kms:Decrypt` la chiave KMS. ** Il recupero di un `SecureString` valore decrittografato richiede l'`kms:Decrypt`autorizzazione sulla chiave che lo ha crittografato, indipendentemente dall'operazione utilizzata. Parameter Store La negazione impedisce `kms:Decrypt` quindi la decrittografia attraverso ogni percorso di recupero. Consulta [Limitazione della decrittografia dei valori dei parametri `SecureString`](ps-restrict-decryption.md).

1. **Verifica il risultato. ** Verifica ogni operazione di recupero come principale limitato. Includi un test `GetParametersByPath` rispetto a ciascun percorso precedente per confermare che la policy si comporti come previsto. Puoi anche utilizzare il simulatore di [ policy IAM ](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_testing-policies.html) per valutare una policy rispetto ad azioni e risorse specifiche.

Per ulteriori informazioni su come IAM combina `Allow` e `Deny` dichiara, consulta la logica di valutazione delle [ policy ](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) nella * IAM User Guide*.