• AWS Systems Manager CloudWatch Dasbor tidak akan lagi tersedia setelah 30 April 2026. Pelanggan dapat terus menggunakan CloudWatch konsol Amazon untuk melihat, membuat, dan mengelola dasbor Amazon CloudWatch mereka, seperti yang mereka lakukan hari ini. Untuk informasi selengkapnya, lihat dokumentasi CloudWatch Dasbor Amazon.
Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Membatasi dekripsi nilai SecureString parameter
Nilai SecureString parameter dienkripsi dengan AWS KMS kunci. Setiap prinsipal yang mengambil nilai yang didekripsi harus memiliki kms:Decrypt izin pada kunci itu, Parameter Store operasi apa pun yang mereka panggil. Hal ini membuat izin AWS KMS kunci menjadi kontrol yang efektif untuk SecureString parameter, karena pernyataan AWS KMS kebijakan tunggal berlaku untuk semua jalur pengambilan sekaligus.
Untuk menggunakan kontrol ini secara efektif, enkripsi parameter sensitif dengan kunci yang dikelola pelanggan daripada Kunci yang dikelola AWS.
penting
Kunci yang dikelola AWS For Parameter Store (aws/ssm) memberikan Decrypt izin kepada semua kepala sekolah IAM di. Akun AWS Jika Anda memerlukan tingkat akses yang berbeda ke SecureString parameter dalam akun, jangan mengenkripsinya dengan kunci default.
Untuk contoh kebijakan utama, termasuk cara menolak akses ke Kunci yang dikelola AWS dan cara memberikan akses ke kunci yang dikelola pelanggan, lihatMengenkripsi dan mendekripsi parameter menggunakan AWS KMS keys.
catatan
Mem kms:Decrypt batasi mencegah prinsipal membaca nilai terenkripsi. Itu tidak menyembunyikan nama parameter, deskripsi, atau metadata lainnya, yang tidak dienkripsi, dan itu tidak mencegah parameter dicantumkan. Gunakan Parameter Store tindakan penolakan seperti yang dijelaskan dalam Membatasi akses ke parameter dan jalur tertentu untuk mengontrolnya.
