Impedir o acesso às operações da API Parameter Store

Usando condições específicas do serviço compatíveis com as políticas do Systems Manager para AWS Identity and Access Management (IAM), você pode permitir ou negar explicitamente o acesso às operações e ao conteúdo da API Parameter Store. Ao usar essas condições, você pode permitir que somente determinadas entidades do IAM (usuários e perfis) na sua organização chamem determinadas ações de API ou impedir que determinadas entidades do IAM as executem. Isso inclui ações executadas por meio do console do Parameter Store, da AWS Command Line Interface (AWS CLI) e dos SDKs.

Antes de escrever uma política que negue o acesso a parâmetros específicos, revise Como o Parameter Store autoriza a recuperação de parâmetros. O Parameter Store autoriza cada operação de recuperação de forma independente e, portanto, uma política que nega somente uma ação pode não produzir o resultado pretendido.

Chaves de condição específicas do Parameter Store

O Systems Manager suporta duas chaves de condição específicas do Parameter Store. Ambas se aplicam à operação PutParameter e controlam como os parâmetros podem ser criados e atualizados.

Para restringir quais parâmetros uma entidade principal pode ler, use controles no nível de recurso e no nível de ação, conforme descrito em Restrição do acesso a parâmetros e caminhos específicos, em vez das chaves de condição.

Impedir alterações nos parâmetros existentes usando o ssm:Overwrite

Use a condição ssm:Overwrite para controlar se as entidades do IAM podem atualizar os parâmetros existentes.

No exemplo de política a seguir, a declaração "Allow" concede permissão para criar parâmetros ao executar a operação da API PutParameter na Conta da AWS 123456789012 na região Leste dos EUA (Ohio) (us-east-2).

Contudo, a declaração "Deny" impede que entidades alterem valores de parâmetros existentes porque a opção Overwrite é explicitamente negada para a operação PutParameter. Assim, as entidades que recebem essa política podem criar parâmetros, mas não fazer alterações nos parâmetros existentes.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ssm:PutParameter"
            ],
            "Condition": {
                "StringEquals": {
                    "ssm:Overwrite": [
                        "true"
                    ]
                }
            },
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        }
    ]
}

Impedir a criação ou a atualização de parâmetros que usam uma política de parâmetros usando ssm:Policies

Use a condição ssm:Policies para controlar se as Entidades podem criar parâmetros que incluam uma política de parâmetros, e atualizar os parâmetros existentes que incluam uma política de parâmetros.

No exemplo de política a seguir, a instrução "Allow" concede permissão geral para criar parâmetros, mas a instrução "Deny" impede que Entidades criem ou atualizem parâmetros que incluam uma política de parâmetros na Conta da AWS 123456789012 na região Leste dos EUA (Ohio) (us-east-2). As Entidades ainda podem criar ou atualizar parâmetros que não tenham sido atribuídos a uma política de parâmetros.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:PutParameter"
            ],
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "ssm:PutParameter"
            ],
            "Condition": {
                "StringEquals": {
                    "ssm:Policies": [
                        "true"
                    ]
                }
            },
            "Resource": "arn:aws:ssm:us-east-1:111122223333:parameter/*"
        }
    ]
}