• AWS Systems Manager CloudWatch Dasbor tidak akan lagi tersedia setelah 30 April 2026. Pelanggan dapat terus menggunakan CloudWatch konsol Amazon untuk melihat, membuat, dan mengelola dasbor Amazon CloudWatch mereka, seperti yang mereka lakukan hari ini. Untuk informasi selengkapnya, lihat dokumentasi CloudWatch Dasbor Amazon.
Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Bagaimana Penyimpanan Parameter mengotorisasi pengambilan parameter
Emp Parameter Store at operasi dapat mengembalikan nilai parameter, dan masing-masing diotorisasi terhadap tindakan IAM sendiri. Tiga dari mereka mengotorisasi terhadap parameter yang disebutkan dalam permintaan. GetParametersByPathadalah pengecualian: ia mengotorisasi terhadap jalur dalam permintaan daripada terhadap parameter yang dikembalikannya.
| Operasi | Tindakan IAM diotorisasi | Sumber daya yang diotorisasi terhadap |
|---|---|---|
| GetParameter | ssm:GetParameter |
Parameter yang diminta |
| GetParameters | ssm:GetParameters |
Setiap parameter yang diminta |
| GetParameterHistory | ssm:GetParameterHistory |
Parameter yang diminta |
| GetParametersByPath | ssm:GetParametersByPath |
Jalur yang ditentukan dalam permintaan, bukan parameter yang dikembalikan |
Dua konsekuensi dari model ini penting ketika Anda merancang kebijakan pembatasan.
Setiap tindakan diotorisasi secara independen
Parameter Storemengotorisasi setiap operasi pengambilan terhadap tindakan IAMnya sendiri. Men ssm:GetParameter yangkal tidak berpengaruh pada panggilan kessm:GetParameters,ssm:GetParametersByPath, ataussm:GetParameterHistory. Untuk membatasi akses ke nilai parameter, tolak setiap tindakan yang dapat mengembalikannya.
Karena keempat nama tindakan dimulai denganGetParameter, pola wildcard menut ssm:GetParameter* upinya dalam satu pernyataan. Sebagai contoh, lihat Menolak izin.
GetParametersByPathdiotorisasi terhadap jalur yang diminta
Ini berarti penolakan tingkat sumber daya pada parameter individual tidak membatasi apa yang dikembalikan oleh kueri jalur. Jika Anda menggunakan hierarki parameter untuk memisahkan lingkungan atau tingkatan aplikasi, terapkan kontrol Anda ke jalur itu sendiri.
penting
Parameter Storemengotor GetParametersByPath isasi operasi terhadap jalur yang Anda tentukan dalam permintaan, bukan terhadap setiap parameter yang dikembalikan operasi. Seorang kepala sekolah yang diizinkan GetParametersByPath untuk memanggil jalur /a menerima setiap parameter di bawah jalur itu, termasuk/a/b. Ini benar bahkan jika kebijakan yang sama secara eksplisit menolak akses /a/b untuk tindakan lain.
Untuk mencegah parameter dikembalikan olehGetParametersByPath, tolak ssm:GetParametersByPath tindakan pada setiap jalur leluhur yang dapat menyertakan parameter dalam hasilnya. Misalnya, untuk /a/b mencegah dikembalikan, tolak ssm:GetParametersByPath untuk keduanya /a dan/.
Pola yang sama berlaku untuk penghapusan. DeleteParametersdiberi wewenang melawanssm:DeleteParameters, bukan menentangssm:DeleteParameter. Untuk mencegah prinsipal menghapus parameter, tolak kedua tindakan.
catatan
Parameter StoreOperasi dicatat di AWS CloudTrail Jika Anda ingin meninjau operasi mana yang telah digunakan untuk mengambil parameter di akun Anda, lihatAktivitas audit dan pencatatan Parameter Store.
