• AWS Systems Manager CloudWatch Dasbor tidak akan lagi tersedia setelah 30 April 2026. Pelanggan dapat terus menggunakan CloudWatch konsol Amazon untuk melihat, membuat, dan mengelola dasbor Amazon CloudWatch mereka, seperti yang mereka lakukan hari ini. Untuk informasi selengkapnya, lihat dokumentasi CloudWatch Dasbor Amazon.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mencegah akses ke Penyimpanan Parameter Operasi API

Menggunakan kondisi khusus layanan yang didukung oleh kebijakan System Manager for AWS Identity and Access Management (IAM), Anda dapat secara eksplisit mengizinkan atau menolak akses ke operasi dan konten Parameter Store API. Dengan menggunakan kondisi ini, Anda hanya dapat mengizinkan Entitas IAM tertentu (pengguna dan peran) di organisasi Anda untuk memanggil tindakan API tertentu, atau mencegah Entitas IAM tertentu menjalankannya. Ini termasuk tindakan yang dijalankan melalui Parameter Store konsol, AWS Command Line Interface (AWS CLI), dan SDK.

Sebelum Anda menulis kebijakan yang menolak akses ke parameter tertentu, tinjauBagaimana Penyimpanan Parameter mengotorisasi pengambilan parameter. Parameter Storemengizinkan setiap operasi pengambilan secara independen, sehingga kebijakan yang menolak hanya satu tindakan mungkin tidak menghasilkan hasil yang Anda inginkan.

Kunci kondisi khusus untuk Penyimpanan Parameter

Manajer Sistem mendukung dua kunci kondisi yang khusus untukParameter Store. Keduanya berlaku untuk PutParameter operasi dan mengontrol bagaimana parameter dapat dibuat dan diperbarui.

Untuk membatasi parameter mana yang dapat di baca oleh kepala sekolah, gunakan kontrol tingkat sumber daya dan tingkat tindakan seperti yang dijelaskan dalam, Membatasi akses ke parameter dan jalur tertentu bukan kunci kondisi.

Mencegah perubahan pada parameter yang ada menggunakan SSM:Overwrite

Gunakan ssm:Overwrite kondisi untuk mengontrol apakah Entitas IAM dapat memperbarui parameter yang ada.

Dalam kebijakan sampel berikut, "Allow" pernyataan memberikan izin untuk membuat parameter dengan menjalankan operasi PutParameter API di Akun AWS 123456789012 di Wilayah AS Timur (Ohio) (us-east-2).

Namun, "Deny" pernyataan tersebut mencegah Entitas mengubah nilai parameter yang ada karena Overwrite opsi secara eksplisit ditolak untuk PutParameter operasi. Oleh karena itu, Entitas yang diberi kebijakan ini dapat membuat parameter, tetapi tidak membuat perubahan pada parameter yang ada.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ssm:PutParameter"
            ],
            "Condition": {
                "StringEquals": {
                    "ssm:Overwrite": [
                        "true"
                    ]
                }
            },
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        }
    ]
}

Mencegah pembuatan atau pembaruan parameter yang menggunakan kebijakan parameter menggunakan SSM:Policies

Gunakan ssm:Policies kondisi untuk mengontrol apakah Entitas dapat membuat parameter yang menyertakan kebijakan parameter dan memperbarui parameter yang ada yang menyertakan kebijakan parameter.

Dalam contoh kebijakan berikut, "Allow" pernyataan memberikan izin umum untuk membuat parameter, tetapi "Deny" pernyataan tersebut mencegah Entitas membuat atau memperbarui parameter yang menyertakan kebijakan parameter di Akun AWS 123456789012 di Wilayah AS Timur (Ohio) (us-east-2). Entitas masih dapat membuat atau memperbarui parameter yang tidak ditetapkan kebijakan parameter.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ssm:PutParameter"
            ],
            "Condition": {
                "StringEquals": {
                    "ssm:Policies": [
                        "true"
                    ]
                }
            },
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        }
    ]
}