Systems Manager Parameter Store から SecureString 値を取得する

CloudFormation では、機密データを「SecureString」として AWS Systems Manager Parameter Store に保存することで、パスワードやライセンスキーなどの機密データをテンプレートで直接公開することなく使用できます。Parameter Store の概要については、「AWS Systems Manager ユーザーガイド」の「AWS Systems Manager Parameter Store」を参照してください。

テンプレートで Parameter Store の Secure String を使用するには、ssm-secure 動的参照を使用します。CloudFormation が実際の SecureString 値を保存することはありません。代わりに、SecureString のプレーンテキストパラメータ名を含むリテラルな動的参照のみを保存します。

スタックの作成時または更新時に、CloudFormation は、実際の値を公開することなく、必要に応じて SecureString 値にアクセスします。SecureString は、ssm-secure の動的参照パターンをサポートするリソースプロパティのためにのみ使用できます。詳細については、「Secure String のための動的なパラメータパターンをサポートするリソース」を参照してください。

CloudFormation は、どの API コールでも SecureString の実際のパラメータ値を返しません。リテラル動的参照のみを返します。変更セットを使用して変更を比較する場合、CloudFormation は、リテラルの動的参照文字列のみを比較します。実際の SecureString の値を解決して比較することはありません。

ssm-secure 動的参照を使用する場合、留意すべき重要な点がいくつかあります。

Secure String のための動的なパラメータパターンをサポートするリソース

ssm-secure の動的参照パターンをサポートするリソースには、以下のものがあります。

リファレンスパターン

CloudFormation テンプレートで Systems Manager Parameter Store の Secure String 値を参照するには、次の ssm-secure 参照パターンを使用します。

{{resolve:ssm-secure:parameter-name:version}}

参照は、parameter-name と version について、以下の正規表現パターンに従う必要があります。

{{resolve:ssm-secure:[a-zA-Z0-9_.\-/]+(:\d+)?}}

例

次の例では、ssm-secure の動的参照を使用して、IAM ユーザーのパスワードを Parameter Store に格納されている SecureString に設定します。指定されているとおり、CloudFormation はスタック操作および変更セット操作に IAMUserPassword パラメータのバージョン 10 を使用します。

  "MyIAMUser": {
    "Type": "AWS::IAM::User",
    "Properties": {
      "UserName": "MyUserName",
      "LoginProfile": {
        "Password": "{{resolve:ssm-secure:IAMUserPassword:10}}"
      }
    }
  }

  MyIAMUser:
    Type: AWS::IAM::User
    Properties:
      UserName: 'MyUserName'
      LoginProfile:
        Password: '{{resolve:ssm-secure:IAMUserPassword:10}}'