AWS Systems Manager Parameter Store

Parameter Store, un outil de AWS Systems Manager, fournit un stockage hiérarchique sécurisé pour la gestion des données de configuration et la gestion des secrets. Vous pouvez stocker des données telles que des mots de passe, des chaînes de base de données Amazon Machine Image (AMI) IDs et des codes de licence sous forme de valeurs de paramètres. Vous pouvez stocker ces valeurs sous forme de texte brut ou de données chiffrées. Vous pouvez référencer des paramètres Systems Manager dans vos scripts, commandes, documents SSM et flux de travail de configuration et d'automatisation à l'aide du nom unique que vous avez spécifié lors de la création du paramètre. Pour vos premiers pas dans Parameter Store, ouvrez Systems Manager console. Dans le panneau de navigation, sélectionnez Parameter Store.

Parameter Store est également intégré à Secrets Manager. Vous pouvez récupérer les secrets Secrets Manager lors de l'utilisation d'autres Services AWS qui prennent déjà en charge les références aux paramètres Parameter Store. Pour de plus amples informations, veuillez consulter Référencer les AWS Secrets Manager secrets de Parameter Store parameters.

Comment mon organisation peut-elle tirer parti de Parameter Store ?

Parameter Store offre les avantages suivants :

À qui est destiné Parameter Store ?

Quelles sont les fonctions d'Parameter Store ?

Qu'est-ce qu'un paramètre ?

Un paramètre Parameter Store est tout élément de données enregistré dans Parameter Store, tel qu'un bloc de texte, une liste de noms, un mot de passe, un ID d'AMI, une clé de licence, etc. Vous pouvez référencer ces données de manière centralisée et sécurisée dans vos scripts, commandes et documents SSM.

Lorsque vous référencez un paramètre, vous spécifiez son nom à l'aide de la convention suivante.

{{ssm:parameter-name}}

Parameter Store prend en charge trois types de paramètres. String, StringList et SecureString.

À une exception près, lorsque vous créez ou mettez à jour un paramètre, vous saisissez sa valeur sous forme de texte brut et Parameter Store n'effectue aucune validation sur le texte en question. Pour String les paramètres, toutefois, vous pouvez spécifier le type de données sous forme de aws:ec2:imageParameter Store, et vérifier que la valeur que vous entrez est au format approprié pour un Amazon EC2 AMI ; par exemple :ami-12345abcdeEXAMPLE.

Type de paramètre : String

Par défaut, les paramètres String sont constitués d'un bloc de texte que vous saisissez. Par exemple :

Type de paramètre : StringList

Les paramètres StringList contiennent une liste de valeurs séparées par des virgules, comme le montre les exemples suivants.

Monday,Wednesday,Friday

CSV,TSV,CLF,ELF,JSON

Type de paramètre : SecureString

Un paramètre SecureString correspond à des données sensibles qui doivent être stockées et référencées de manière sécurisée. Si vous ne voulez pas que les utilisateurs modifient ou référencent en texte brut certaines de vos données, telles que les mots de passe ou les clés de licence, créez ces paramètres à l'aide du type de données SecureString.

Nous recommandons l'utilisation des paramètres SecureString pour les scénarios suivants :

Vous pouvez utiliser le type de SecureString paramètre pour les données textuelles que vous souhaitez chiffrer, telles que les mots de passe, les secrets d'application, les données de configuration confidentielles ou tout autre type de données que vous souhaitez protéger. SecureStringles données sont cryptées et déchiffrées à l'aide d'une clé. AWS KMS Vous pouvez utiliser une clé KMS par défaut fournie par AWS ou créer et utiliser la vôtre AWS KMS key. (Utilisez votre propre AWS KMS key pour restreindre l'accès des utilisateurs aux paramètres SecureString. Pour de plus amples informations, veuillez consulter Autorisations IAM pour l'utilisation des clés AWS par défaut et des clés gérées par le client.)

Vous pouvez également utiliser des SecureString paramètres avec d'autres Services AWS. Dans l'exemple suivant, la fonction Lambda récupère un SecureString paramètre à l'aide de l'API. GetParameters

import json
import boto3
ssm = boto3.client('ssm', 'us-east-2')
def get_parameters():
    response = ssm.get_parameters(
        Names=['LambdaSecureString'],WithDecryption=True
    )
    for parameter in response['Parameters']:
        return parameter['Value']
        
def lambda_handler(event, context):
    value = get_parameters()
    print("value1 = " + value)
    return value  # Echo back the first key value

AWS KMS chiffrement et tarification

Si vous choisissez le type de SecureString paramètre lorsque vous créez votre paramètre, Systems Manager l'utilise AWS KMS pour chiffrer la valeur du paramètre.

La création d'Parameter Storeun SecureString paramètre est gratuite, mais des frais d'utilisation du AWS KMS chiffrement s'appliquent. Pour obtenir des informations, veuillez consulter Tarification AWS Key Management Service.

Pour plus d'informations sur les clés gérées par le client Clés gérées par AWS et les clés gérées par le client, consultez la section AWS Key Management Service Concepts du guide du AWS Key Management Service développeur. Pour plus d'informations sur le AWS KMS chiffrement Parameter Store et le chiffrement, consultez la section Comment AWS Systems ManagerParameter Store les utiliser AWS KMS.

aws kms describe-key --key-id alias/aws/ssm

Limites de taille des paramètres

Parameter Storecomporte des limites de taille différentes pour les valeurs des paramètres en fonction du niveau de paramètres que vous utilisez :

Si vous devez stocker des valeurs de paramètres supérieures à 4 Ko, vous devez utiliser le niveau de paramètres avancé. Les paramètres avancés fournissent des fonctionnalités supplémentaires mais entraînent des frais sur votre AWS compte. Pour plus d'informations sur les niveaux de paramètres et leurs fonctionnalités, consultezGestion des niveaux de paramètres.

Pour une liste complète des Parameter Store quotas et des limites, voir les AWS Systems Manager points de terminaison et les quotas dans la référence AWS générale.