Paramètre : stocker la référence

Un paramètre est une donnée stockéeParameter Store, telle qu'un bloc de texte, une liste de noms, un identifiant, un AMI identifiant de commerçant ou une autre valeur de configuration. Vous pouvez référencer ces données de manière centralisée dans vos scripts, commandes et documents SSM.

Lorsque vous faites référence à un paramètre, vous spécifiez son nom selon la convention suivante.

{{ssm:parameter-name}}

Parameter Store prend en charge trois types de paramètres. String, StringList et SecureString.

À une exception près, lorsque vous créez ou mettez à jour un paramètre, vous saisissez sa valeur sous forme de texte brut et Parameter Store n'effectue aucune validation sur le texte en question. Pour les paramètres String, vous pouvez néanmoins spécifier le type de données comme aws:ec2:image. Alors, Parameter Store valide la valeur que vous saisissez comme étant au format approprié pour une AMI Amazon EC2 ; par exemple : ami-12345abcdeEXAMPLE.

Type de paramètre : String

Par défaut, la valeur d’un paramètre String est constituée d’un bloc de texte que vous saisissez. Par exemple :

Type de paramètre : StringList

Les valeurs des paramètres StringList contiennent une liste de valeurs séparées par des virgules, comme le montrent les exemples suivants.

Monday,Wednesday,Friday

CSV,TSV,CLF,ELF,JSON

Type de paramètre : SecureString

SecureStringÀ utiliser pour les valeurs de configuration qui nécessitent un chiffrement, telles que les points de terminaison de service et les identifiants de compte. Pour les secrets tels que les informations d'identification de base de données, les clés d'API ou les jetons, nous recommandons AWS Secrets Manager, qui fournit des contrôles de sécurité spécialement conçus, notamment la rotation automatique et la réplication entre régions.

Seule la valeur du paramètre est cryptée. Le nom du paramètre, sa description et les autres métadonnées ne sont pas chiffrés.

Parameter Storechiffre et déchiffre les valeurs des SecureString paramètres à l'aide d'une clé. AWS KMS Vous pouvez utiliser la clé par défaut Clé gérée par AWS Parameter Store ou une clé gérée par le client. Utilisez une clé gérée par le client lorsque vous devez restreindre les principaux autorisés à déchiffrer des paramètres particuliers. Pour de plus amples informations, veuillez consulter Chiffrement et déchiffrement des paramètres à l'aide de AWS KMS clés.

Vous pouvez utiliser des SecureString paramètres avec d'autres paramètres Services AWS. La fonction Lambda suivante extrait un identifiant marchand chiffré à partir du /myapp/dev/vendor/merchant-id paramètre. La fonction utilise la valeur sans l'écrire dans les journaux de la fonction ni la renvoyer dans la réponse.

import json
import boto3

ssm = boto3.client("ssm", region_name="us-east-1")

def lambda_handler(event, context):
    response = ssm.get_parameter(
        Name="/myapp/dev/vendor/merchant-id",
        WithDecryption=True
    )

    merchant_id = response["Parameter"]["Value"]

    # Use merchant_id when communicating with the vendor system.
    # Don't write the value to logs or include it in the response.

    return {
        "statusCode": 200,
        "body": json.dumps("Vendor configuration retrieved.")
    }

AWS KMS chiffrement et tarification

Lorsque vous créez un SecureString paramètre, Systems Manager l'utilise AWS KMS pour chiffrer la valeur du paramètre.

La création d'Parameter Storeun SecureString paramètre est gratuite, mais des frais d'utilisation AWS KMS peuvent s'appliquer. Pour en savoir plus, consultez Pricing AWS Key Management Service (Tarification).

Pour plus d'informations sur les clés gérées par le client Clés gérées par AWS et sur les clés gérées par le client, consultez la section AWS Key Management Service Concepts du Guide du AWS Key Management Service développeur. Pour plus d'informations sur Parameter Store les utilisations AWS KMS, voir Comment AWS Systems ManagerParameter Store les utiliser AWS KMS.

aws kms describe-key \
    --region us-east-1 \
    --key-id alias/aws/ssm

Contraintes relatives au nom des paramètres

Utilisez les informations indiquées dans cette rubrique pour vous aider à spécifier les valeurs valides des noms de paramètre lorsque vous créez un paramètre.

Ces informations complètent les détails de la rubrique PutParameter de la référence de l'AWS Systems Manager API, qui fournit également des informations sur les valeurs AllowedPattern, la description KeyId, le remplacement, le type et la valeur.

Les exigences et contraintes relatives aux noms de paramètre sont les suivantes :