• Le AWS Systems Manager CloudWatch tableau de bord ne sera plus disponible après le 30 avril 2026. Les clients peuvent continuer à utiliser CloudWatch la console Amazon pour consulter, créer et gérer leurs CloudWatch tableaux de bord Amazon, comme ils le font aujourd'hui. Pour plus d'informations, consultez la documentation Amazon CloudWatch Dashboard.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration Parameter Store

Avant de configurer les paramètres dansParameter Store, configurez des politiques Gestion des identités et des accès AWS (IAM) qui autorisent les administrateurs de votre compte à effectuer les actions que vous spécifiez.

Dans cette section, vous apprendrez à configurer manuellement ces politiques à l'aide de la console IAM et à les attribuer à des utilisateurs et à des groupes d'utilisateurs. Vous pouvez également créer et attribuer des politiques pour contrôler les actions de paramètres qui peuvent être exécutées sur un nœud géré.

Cette section explique également comment créer des EventBridge règles Amazon qui vous permettent de recevoir des notifications concernant les modifications apportées aux paramètres de Systems Manager. Vous pouvez utiliser des EventBridge règles pour invoquer d'autres actions en AWS fonction des modifications apportées àParameter Store.

Gestion de l'accès à Parameter Store paramètres utilisant des politiques IAM

Le principal IAM qui accède aux AWS Systems Manager paramètres doit être autorisé à effectuer les actions SSM requises. Le principal peut être un utilisateur IAM, un rôle IAM, un profil d'instance Amazon EC2, un rôle d'exécution Lambda, un rôle de tâche Amazon ECS, un rôle de CodeBuild service ou un autre rôle de service. AWS

Le tableau suivant décrit les autorisations IAM requises pour différentes Parameter Store actions.

Lorsque vous utilisez des politiques IAM pour accorder l'accès aux paramètres de Systems Manager, nous vous recommandons de créer et d'utiliser des politiques IAM restrictives. Par exemple, la politique suivante permet à un responsable d'appeler les opérations d'GetParametersAPI DescribeParameters et pour un ensemble limité de ressources. Le directeur peut obtenir des informations et utiliser tous les paramètres commençant parprod-*.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeParameters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameters"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/prod-*"
        }
    ]
}

Pour les administrateurs de confiance, vous pouvez fournir un accès complet à toutes les opérations d'API des paramètres Systems Manager en utilisant une politique similaire à l'exemple suivant. Cette politique accorde à l'utilisateur un accès complet à tous les paramètres de production qui commencent par dbserver-prod-*.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter",
                "ssm:DeleteParameter",
                "ssm:GetParameterHistory",
                "ssm:GetParametersByPath",
                "ssm:GetParameters",
                "ssm:GetParameter",
                "ssm:DeleteParameters"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/dbserver-prod-*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeParameters",
            "Resource": "*"
        }
    ]
}

Refuser des autorisations

Chaque API est unique et dispose d'opérations et d'autorisations distinctes que vous pouvez autoriser ou refuser individuellement. Un refus explicite dans n'importe quelle politique remplace l'autorisation.

Les noms des quatre actions de récupération commencent parGetParameter, de sorte que l'entrée unique ssm:GetParameter* couvre ssm:GetParameter ssm:GetParametersssm:GetParameterHistory, etssm:GetParametersByPath. L'exemple suivant utilise ce modèle pour refuser les quatre actions pour tous les paramètres commençant parprod-*.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ssm:GetParameter*"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/prod-*"
        }
    ]
}

L'exemple suivant montre comment refuser certaines commandes, tout en permettant à l'utilisateur d'en exécuter d'autres sur tous les paramètres commençant par prod-*.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "ssm:PutParameter",
                "ssm:DeleteParameter",
                "ssm:DeleteParameters",
                "ssm:DescribeParameters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParametersByPath",
                "ssm:GetParameters",
                "ssm:GetParameter",
                "ssm:GetParameterHistory"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/prod-*"
        }
    ]
}

Le même comportement s'applique à la suppression. ssm:DeleteParametersest autorisé indépendamment dessm:DeleteParameter, donc le fait de refuser uniquement ssm:DeleteParameter n'empêche pas un principal de supprimer le paramètre avec l'DeleteParametersopération. Refusez les deux actions ou utilisez le schémassm:DeleteParameter*.

Chiffrement et déchiffrement des paramètres à l'aide de AWS KMS clés

Parameter StoreSecureStringles paramètres utilisent AWS KMS des clés pour le chiffrement. AWS KMS chiffre la valeur à l'aide d'une clé gérée par le client Clé gérée par AWS ou d'une clé gérée par le client. Pour plus d'informations sur AWS KMS et AWS KMS key, consultez le Guide du AWS Key Management Service développeur .

Tous les utilisateurs du compte client ont accès à la clé AWS gérée par défaut. Vous pouvez trouver l'Amazon Resource Name (ARN) de la clé par défaut dans la AWS KMS console, sur la page des clés AWS gérées. La clé par défaut est identifiée par aws/ssm dans la colonne Alias. Vous souhaiterez peut-être utiliser la clé par défaut pour chiffrer SecureString les paramètres tout en empêchant les utilisateurs de travailler avec les SecureString paramètres. Dans ce cas, les politiques IAM doivent explicitement refuser l'accès à la clé par défaut, comme le montre l'exemple de politique suivant.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111122223333:key/abcd1234-ab12-cd34-ef56-abcdeEXAMPLE"
            ]
        }
    ]
}

Lorsque vous utilisez une clé gérée par le client, la politique IAM qui accorde à un accès principal à un paramètre ou à un chemin de paramètre doit fournir des kms:Encrypt autorisations explicites pour la clé. Par exemple, la politique suivante permet à un principal de créer, de mettre à jour et d'afficher des SecureString paramètres commençant par prod- les valeurs spécifiées Région AWS et Compte AWS.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter",
                "ssm:GetParameter",
                "ssm:GetParameters"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:parameter/prod-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-12345EXAMPLE"
            ]
        }
    ]
}

Si vous avez besoin d'un contrôle d'accès précis aux SecureString paramètres de votre compte, utilisez une clé gérée par le client pour protéger et restreindre l'accès à ces paramètres. Nous vous recommandons également de l'utiliser AWS CloudTrail pour surveiller l'activité des SecureString paramètres.

Pour plus d’informations, consultez les rubriques suivantes :

Autoriser les nœuds gérés à accéder à des paramètres spécifiques

Pour contrôler Parameter Store les paramètres qu'un nœud géré peut récupérer, vous pouvez associer une politique IAM au rôle d'instance. Si vous choisissez le type de SecureString paramètre lorsque vous créez votre paramètre, Systems Manager l'utilise AWS KMS pour chiffrer la valeur du paramètre. Vous pouvez le consulter Clé gérée par AWS en exécutant la commande suivante à partir du AWS CLI.

aws kms describe-key --key-id alias/aws/ssm

L'exemple suivant permet aux nœuds d'obtenir une valeur de paramètre seulement pour les paramètres commençant par prod-. Si le paramètre est un paramètre SecureString, le nœud déchiffre alors la chaîne en utilisant la AWS KMS.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:GetParameters"
            ],
            "Resource": [
                "arn:aws:ssm:us-east-1:111122223333:parameter/prod-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:111122223333:key/4914ec06-e888-4ea5-a371-5b88eEXAMPLE"
            ]
        }
    ]
}