AWS Systems Manager Parameter Store

Parameter Store, una capacidad de AWS Systems Manager, proporciona un almacenamiento seguro y jerárquico para la administración de los datos de configuración y de los secretos. Puede almacenar datos como contraseñas, cadenas de base de datos, ID de Amazon Machine Image (AMI) y códigos de licencia como valores de parámetros. Puede almacenar valores como texto sin formato o como datos cifrados. Puede hacer referencia a parámetros de Systems Manager en los scripts, los comandos, los documentos de SSM y los flujos de trabajo de configuración y automatización utilizando el nombre único que especificó cuando creó el parámetro. Para comenzar a utilizar Parameter Store, abra la consola de Systems Manager. En el panel de navegación, elija Parameter Store.

Parameter Store también se integran con Secrets Manager. Puede recuperar secretos de Secrets Manager cuando utiliza otros Servicios de AWS que admiten las referencias a los parámetros de Parameter Store. Para obtener más información, consulte Referencia a los secretos de AWS Secrets Manager desde los parámetros de Parameter Store.

¿Cómo puede Parameter Store beneficiar a mi organización?

Parameter Store ofrece las ventajas siguientes:

¿Quién debe utilizar Parameter Store?

¿Cuáles son las características de Parameter Store?

¿Qué es un parámetro?

Un parámetro de Parameter Store es cualquier dato guardado en Parameter Store, como un bloque de texto, una lista de nombres, una contraseña, un ID de AMI, una clave de licencia, etc. Puede hacer referencia a estos datos de forma centralizada y segura en sus scripts, comandos y documentos SSM.

Cuando se hace referencia a un parámetro, se debe especificar el nombre del parámetro utilizando la siguiente convención.

{{ssm:parameter-name}}

Parameter Store permite usar tres tipos de parámetros: String, StringList y SecureString.

Con una excepción, cuando cree o actualice un parámetro, deberá ingresar el valor del parámetro como texto sin formato y Parameter Store no realiza ninguna validación en el texto especificado. Sin embargo, para los parámetros String puede especificar el tipo de datos como aws:ec2:image, y Parameter Store valida que el valor ingresado tenga el formato adecuado para una AMI de Amazon EC2; por ejemplo: ami-12345abcdeEXAMPLE.

Tipo de parámetro: String

De forma predeterminada, los parámetros String constan de cualquier bloque de texto especificado. Por ejemplo:

Tipo de parámetro: StringList

Los parámetros StringList contienen una lista de valores separados por comas, como se muestra en el siguiente ejemplo.

Monday,Wednesday,Friday

CSV,TSV,CLF,ELF,JSON

Tipo de parámetro: SecuRestring

Un parámetro SecureString es toda información confidencial que debe almacenarse o a la que se hace referencia de forma segura. Si tiene datos que no desea que los usuarios modifiquen o se remita a ellos como texto sin cifrar (por ejemplo, las contraseñas o las claves de licencia), cree esos parámetros utilizando el tipo de datos SecureString.

Recomendamos utilizar los parámetros SecureString en las siguientes situaciones:

Puede utilizar el tipo de parámetro de SecureString para datos textuales que desea cifrar, como contraseñas, secretos de aplicaciones, datos de configuración confidenciales u otros tipos de datos que necesite proteger. Los datos de SecureString se cifran y descifran con una clave AWS KMS. Puede utilizar una clave de KMS predeterminada proporcionada por AWS o crear y utilizar su propia AWS KMS key. (Utilice su propia AWS KMS key si desea restringir el acceso de los usuarios a los parámetros de SecureString. Para obtener más información, consulte Los permisos de IAM para utilizar claves predeterminadas de AWS y claves administradas por el cliente).

También puede usar parámetros SecureString con otros Servicios de AWS. En el siguiente ejemplo, la función de Lambda recupera un parámetro SecureString con la API GetParameters.

from __future__ import print_function
 
import json
import boto3
ssm = boto3.client('ssm', 'us-east-2')
def get_parameters():
    response = ssm.get_parameters(
        Names=['LambdaSecureString'],WithDecryption=True
    )
    for parameter in response['Parameters']:
        return parameter['Value']
        
def lambda_handler(event, context):
    value = get_parameters()
    print("value1 = " + value)
    return value  # Echo back the first key value

Cifrado y precios de AWS KMS

Si elige el tipo de parámetro SecureString cuando crea el parámetro, Systems Manager utiliza AWS KMS para cifrar el valor del parámetro.

No se aplican cargos en Parameter Store por crear un parámetro SecureString, pero sí por utilizar el cifrado de AWS KMS. Para obtener información, consulte Precios de AWS Key Management Service.

Para obtener más información acerca de las Claves administradas por AWS y de las claves administradas por el cliente, consulte los conceptos de AWS Key Management Service en la Guía para desarrolladores de AWS Key Management Service. Para obtener más información acerca de Parameter Store y cifrado de AWS KMS, consulte Cómo Parameter Store de AWS Systems Manager usa AWS KMS.

aws kms describe-key --key-id alias/aws/ssm