Parameter Store API 작업에 대한 액세스 차단

Systems Manager for AWS Identity and Access Management(IAM) 정책에서 지원하는 서비스별 조건을 사용하여 Parameter Store API 작업 및 콘텐츠에 대한 액세스를 명시적으로 허용하거나 거부할 수 있습니다. 이러한 조건을 사용하면 조직의 특정 IAM 엔티티(사용자 및 역할) 만 특정 API 작업을 직접 호출하도록 허용하거나 특정 IAM 엔티티가 해당 작업을 실행하지 못하게 할 수 있습니다. 여기에는 Parameter Store 콘솔, AWS Command Line Interface(AWS CLI) 및 SDK를 통해 실행되는 작업이 포함됩니다.

특정 파라미터에 대한 액세스를 거부하는 정책을 작성하기 전에 Parameter Store가 파라미터 검색 권한을 부여하는 방법 섹션을 검토하세요. Parameter Store는 각 검색 작업에 독립적으로 권한을 부여하므로 한 작업만 거부하는 정책은 의도한 결과를 생성하지 못할 수 있습니다.

Parameter Store 전용 조건 키

Systems Manager는 두 개의 Parameter Store 전용 조건 키를 지원합니다. 둘 다 PutParameter 작업에 적용되며 파라미터를 생성하고 업데이트할 수 있는 방법을 제어합니다.

위탁자가 읽을 수 있는 파라미터를 제한하려면 특정 파라미터 및 경로에 대한 액세스 제한에 설명된 대로 조건 키 대신 리소스 수준 및 작업 수준 제어를 사용합니다.

ssm:Overwrite를 사용하여 기존 파라미터 변경 방지

ssm:Overwrite 조건을 사용하여 IAM 엔티티가 기존 파라미터를 업데이트할 수 있는지 여부를 제어할 수 있습니다.

다음 샘플 정책에서 "Allow" 문은 미국 동부(오하이오) 리전의 AWS 계정 123456789012(us-east-2)에서 PutParameter API 작업을 실행하여 파라미터를 생성할 수 있는 권한을 부여합니다.

그러나 PutParameter 작업에 대해 Overwrite 옵션이 명시적으로 거부되기 때문에 "Deny" 문은 엔터티가 기존 파라미터의 값을 변경하지 못하게 합니다. 즉, 이 정책이 할당된 사용자는 파라미터를 만들 수 있지만 기존 파라미터를 변경할 수는 없습니다.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ssm:PutParameter"
            ],
            "Condition": {
                "StringEquals": {
                    "ssm:Overwrite": [
                        "true"
                    ]
                }
            },
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        }
    ]
}

ssm:Policies를 통해 파라미터 정책을 사용하는 파라미터 생성 또는 업데이트 방지

ssm:Policies 조건을 사용하여 엔터티가 파라미터 정책을 포함하는 파라미터를 생성하고 파라미터 정책을 포함하는 기존 파라미터를 업데이트할 수 있는지 여부를 제어합니다.

다음 정책 예제에서 "Allow" 문은 생성 파라미터에 대한 일반 권한을 부여하지만 "Deny" 문은 엔터티가 미국 동부(오하이오) 리전(us-east-2)의 AWS 계정 123456789012 파라미터 정책을 포함하는 파라미터를 만들거나 업데이트하지 못하도록 합니다. 엔터티는 여전히 파라미터 정책이 할당되지 않은 파라미터를 생성하거나 업데이트할 수 있습니다.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ssm:PutParameter"
            ],
            "Condition": {
                "StringEquals": {
                    "ssm:Policies": [
                        "true"
                    ]
                }
            },
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        }
    ]
}