• La AWS Systems Manager CloudWatch dashboard non sarà più disponibile dopo il 30 aprile 2026. I clienti possono continuare a utilizzare la CloudWatch console Amazon per visualizzare, creare e gestire le proprie CloudWatch dashboard Amazon, proprio come fanno oggi. Per ulteriori informazioni, consulta la documentazione di Amazon CloudWatch Dashboard.
Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
In che modo Parameter Store autorizza il recupero dei parametri
Quattro Parameter Store operazioni possono restituire un valore di parametro e ognuna è autorizzata in base alla propria azione IAM. Tre di esse eseguono l'autorizzazione in base ai parametri indicati nella richiesta. GetParametersByPathè l'eccezione: autorizza in base al percorso della richiesta anziché in base ai parametri restituiti.
| Operation | Azione IAM autorizzata | Risorsa autorizzata contro |
|---|---|---|
| GetParameter | ssm:GetParameter |
Il parametro richiesto |
| GetParameters | ssm:GetParameters |
Ogni parametro richiesto |
| GetParameterHistory | ssm:GetParameterHistory |
Il parametro richiesto |
| GetParametersByPath | ssm:GetParametersByPath |
Il percorso specificato nella richiesta, non i parametri restituiti |
Due conseguenze di questo modello sono importanti quando si progettano politiche restrittive.
Ogni azione è autorizzata indipendentemente
Parameter Storeautorizza ogni operazione di recupero rispetto alla propria azione IAM. ssm:GetParameterLa negazione non ha effetto sulle chiamate assm:GetParameters,, o. ssm:GetParametersByPath ssm:GetParameterHistory Per limitare l'accesso a un valore di parametro, negate tutte le azioni che possono restituirlo.
Poiché tutti e quattro i nomi delle azioni iniziano conGetParameter, il modello di caratteri jolly li ssm:GetParameter* racchiude in un'unica dichiarazione. Per alcuni esempi, consulta Negare le autorizzazioni.
GetParametersByPathè autorizzato in base al percorso richiesto
Ciò significa che le negazioni a livello di risorsa su un singolo parametro non limitano il risultato di una query di percorso. Se utilizzi gerarchie di parametri per separare ambienti o livelli di applicazione, applica i controlli ai percorsi stessi.
Importante
Parameter Storeautorizza l'GetParametersByPathoperazione in base al percorso specificato nella richiesta, non in base a ciascun parametro restituito dall'operazione. Un principale a cui è consentito richiamare GetParametersByPath il percorso /a riceve tutti i parametri inclusi in quel percorso, inclusi/a/b. Ciò è vero anche se la stessa politica nega esplicitamente l'accesso /a/b ad altre azioni.
Per impedire la restituzione di un parametroGetParametersByPath, negate l'ssm:GetParametersByPathazione su ogni percorso predecessore che potrebbe includere il parametro nei risultati. Ad esempio, per /a/b evitare che venga restituito, nega sia ssm:GetParametersByPath per che. /a /
Lo stesso schema si applica all'eliminazione. DeleteParametersè autorizzato controssm:DeleteParameters, non controssm:DeleteParameter. Per impedire a un responsabile di eliminare un parametro, nega entrambe le azioni.
Nota
Parameter Storele operazioni sono registrate in. AWS CloudTrail Se desideri verificare quali operazioni sono state utilizzate per recuperare un parametro nel tuo account, consultaVerifica e registrazione dell'attività Parameter Store.
