View a markdown version of this page

Membatasi akses ke parameter dan jalur tertentu - AWS Systems Manager

• AWS Systems Manager CloudWatch Dasbor tidak akan lagi tersedia setelah 30 April 2026. Pelanggan dapat terus menggunakan CloudWatch konsol Amazon untuk melihat, membuat, dan mengelola dasbor Amazon CloudWatch mereka, seperti yang mereka lakukan hari ini. Untuk informasi selengkapnya, lihat dokumentasi CloudWatch Dasbor Amazon.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Membatasi akses ke parameter dan jalur tertentu

Gunakan pendekatan berikut untuk membatasi akses ke parameter atau sekumpulan parameter. Pendekatan ini mencerminkan perilaku otorisasi yang dijelaskan dalamBagaimana Penyimpanan Parameter mengotorisasi pengambilan parameter.

Untuk membatasi akses ke parameter atau jalur tertentu

  1. Lebih suka memberikan akses sempit daripada menolak akses luas. Jika Anda bisa, lingkup Allow pernyataan ke kumpulan parameter terkecil yang dibutuhkan kepala sekolah, daripada memberikan akses luas dan kemudian menguranginya. Per Allow nyataan yang tidak pernah memberikan akses ke parameter tidak bergantung pada Anda menghitung setiap tindakan dengan benar.

  2. Pisahkan parameter sensitif ke jalur mereka sendiri. Membatasi akses lebih sederhana ketika parameter sensitif tidak berbagi jalur dengan parameter yang diizinkan untuk dibaca oleh prinsipal. Misalnya, simpan nilai terbatas di bawah /myapp/restricted/ daripada di samping konfigurasi umum di bawah/myapp/config/. Untuk informasi selengkapnya tentang mengatur parameter, lihatBekerja dengan hierarki parameter di Penyimpanan Parameter.

  3. Saat Anda menolak akses, tolak setiap tindakan yang dapat mengembalikan nilai. Sertakanssm:GetParameter,ssm:GetParameters,ssm:GetParameterHistory, danssm:GetParametersByPath, atau gunakan ssm:GetParameter* untuk mencocokkan keempatnya.

  4. KarenaGetParametersByPath, tolak setiap jalan leluhur. Penolakan pada ARN parameter itu sendiri tidak menghentikan parameter dari dikembalikan oleh panggilan terhadap jalur di atasnya. Untuk melindungi/myapp/restricted/db-password, menyangkal ssm:GetParametersByPath/myapp/restricted,/myapp, dan/.

  5. Untuk SecureString parameter, batasi kms:Decrypt pada kunci KMS. Mengambil SecureString nilai yang didekripsi memerlukan kms:Decrypt izin pada kunci yang mengenkripsinya, terlepas dari Parameter Store operasi mana yang digunakan. kms:DecryptOleh karena itu, menyangkal mencegah dekripsi melalui setiap jalur pengambilan. Lihat Membatasi dekripsi nilai SecureString parameter.

  6. Verifikasi hasilnya. Uji setiap operasi pengambilan sebagai prinsip terbatas. Sertakan tes GetParametersByPath terhadap setiap jalur leluhur untuk mengonfirmasi bahwa kebijakan berperilaku sesuai keinginan Anda. Anda juga dapat menggunakan simulator kebijakan IAM untuk mengevaluasi kebijakan terhadap tindakan dan sumber daya tertentu.

Untuk informasi selengkapnya tentang bagaimana IAM menggabungkan Allow dan Deny pernyataan, lihat Logika evaluasi kebijakan di Panduan Pengguna IAM.