パラメータストアリファレンス

パラメータとは、例えばテキストのブロック、名前のリスト、AMI ID、マーチャント ID、その他の設定値など、Parameter Store に保存されるデータのことです。スクリプト、コマンド、SSM ドキュメントで、このデータを一元的に参照できます。

パラメータを参照するときは、以下の規則を使用してパラメータ名を指定します。

{{ssm:parameter-name}}

Parameter Store では、String、StringList、SecureString という 3 タイプのパラメータがサポートされています。

1 つの例外を除いて、パラメータを作成または更新するときは、パラメータ値をプレーンテキストとして入力します。入力したテキストは Parameter Store によって検証されません。ただし、String パラメータの場合、データ型を aws:ec2:image として指定できます。Parameter Store によって、入力した値が Amazon EC2 AMI の適切な形式 (ami-12345abcdeEXAMPLE など) であることが検証されます。

パラメータタイプ: 文字列

デフォルトでは、String パラメータの値はユーザーが入力したテキストのブロックで構成されます。例えば、次のようになります。

パラメータタイプ: StringList

StringList パラメータの値には、以下の例に示すように、値のカンマ区切りリストを含めます。

Monday,Wednesday,Friday

CSV,TSV,CLF,ELF,JSON

パラメータタイプ: SecureString

サービスエンドポイントやアカウント識別子など、暗号化が必要な設定値には SecureString を使用します。データベース認証情報、API キー、トークンなどのシークレットの場合は、AWS Secrets Manager をお勧めします。これは、自動ローテーションやクロスリージョンレプリケーションなどの専用のセキュリティコントロールを提供します。

パラメータの値のみが暗号化されます。パラメータ名、説明、その他のメタデータは暗号化されません。

Parameter Store は、AWS KMS キーを使用して SecureString パラメータ値の暗号化と復号を行います。Parameter Store のデフォルトの AWS マネージドキー、またはカスタマーマネージドキーを使用することができます。特定のパラメータを復号できるプリンシパルを制限する必要がある場合は、カスタマーマネージドキーを使用します。詳細については、「AWS KMS キーを使用したパラメータの暗号化と復号」を参照してください。

SecureString パラメータは他の AWS のサービス とともに使用できます。次の Lambda 関数は、/myapp/dev/vendor/merchant-id パラメータから暗号化されたマーチャント ID を取得します。この関数は、関数ログに書き込んだり、レスポンスで返したりせずに値を使用します。

import json
import boto3

ssm = boto3.client("ssm", region_name="us-east-1")

def lambda_handler(event, context):
    response = ssm.get_parameter(
        Name="/myapp/dev/vendor/merchant-id",
        WithDecryption=True
    )

    merchant_id = response["Parameter"]["Value"]

    # Use merchant_id when communicating with the vendor system.
    # Don't write the value to logs or include it in the response.

    return {
        "statusCode": 200,
        "body": json.dumps("Vendor configuration retrieved.")
    }

AWS KMS の暗号化と料金

SecureString パラメータを作成する際、Systems Manager により AWS KMS を使用してパラメータ値が暗号化されます。

Parameter Store では、SecureString パラメータの作成は無料ですが、AWS KMS の使用は有料です。詳細については、「AWS Key Management Service 料金表」を参照してください。

AWS マネージドキー およびカスタマーマネージドキーの詳細については、「AWS Key Management Service デベロッパーガイド」の「AWS Key Management Service の概念」を参照してください。Parameter Store による AWS KMS の使用方法の詳細については、「AWS Systems Manager Parameter Store による AWS KMS の使用方法」を参照してください。

aws kms describe-key \
    --region us-east-1 \
    --key-id alias/aws/ssm

パラメータ名の制約

このトピックの情報を使用して、パラメータの作成時にパラメータ名に有効な値を指定します。

この情報は AWS Systems Manager API リファレンス のトピック PutParameter の詳細を補完し、AllowedPattern、Description、KeyId、Overwrite、Type、Value の値についての詳細も提供します。

パラメータ名の要件と制約には次のようなものがあります。