• 2026 年 4 月 30 日之後將不再提供 AWS Systems Manager CloudWatch Dashboard。客戶可以繼續使用 Amazon CloudWatch 主控台來檢視、建立和管理其 Amazon CloudWatch 儀表板，就像現在一樣。如需詳細資訊，請參閱 Amazon CloudWatch Dashboard 文件。
本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
如何Parameter Store授權參數擷取
四個Parameter Store操作可以傳回參數值，每個操作都會針對自己的 IAM 動作進行授權。其中三個對請求中名為 的參數進行授權。 GetParametersByPath是例外狀況：它對請求中的路徑進行授權，而不是對傳回的參數進行授權。
| 作業 | IAM 動作已授權 | 針對 授權的資源 |
|---|---|---|
| GetParameter | ssm:GetParameter |
請求的參數 |
| GetParameters | ssm:GetParameters |
每個請求的參數 |
| GetParameterHistory | ssm:GetParameterHistory |
請求的參數 |
| GetParametersByPath | ssm:GetParametersByPath |
請求中指定的路徑，而不是傳回的參數 |
當您設計限制性政策時，此模型的兩個後果很重要。
每個動作都是獨立授權的
Parameter Store 針對自己的 IAM 動作授權每個擷取操作。拒絕ssm:GetParameter不會影響對 ssm:GetParameters、 ssm:GetParametersByPath或 的呼叫ssm:GetParameterHistory。若要限制對參數值的存取，請拒絕每個可傳回該值的動作。
由於所有四個動作名稱都以 開頭GetParameter，萬用字元模式會在單一陳述式中ssm:GetParameter*涵蓋它們。如需範例，請參閱 拒絕許可。
GetParametersByPath 針對請求的路徑授權
這表示個別參數上的資源層級拒絕不會限制路徑查詢傳回的內容。如果您使用參數階層來分隔環境或應用程式層，請將控制項套用至路徑本身。
重要
Parameter Store 針對您在請求中指定的路徑授權GetParametersByPath操作，而不是針對操作傳回的每個參數。允許呼叫路徑GetParametersByPath的委託人/a會收到該路徑下的每個參數，包括 /a/b。即使相同的政策明確拒絕其他動作/a/b存取 ，也是如此。
若要防止 參數由 傳回GetParametersByPath，請拒絕每個可能將 參數包含在其結果中的前代路徑ssm:GetParametersByPath的動作。例如，若要/a/b防止 傳回，ssm:GetParametersByPath請同時拒絕 /a和 /。
相同的模式適用於刪除。DeleteParameters 已針對 授權ssm:DeleteParameters，而非針對 授權ssm:DeleteParameter。若要防止委託人刪除參數，請拒絕這兩個動作。
注意
Parameter Store 操作會記錄在 中 AWS CloudTrail。如果您想要檢閱已用於擷取帳戶中參數的操作，請參閱 稽核和記錄 Parameter Store 活動。
