AWS Systems Manager Parameter Store

Parameter Store（AWS Systems Manager 的一项功能）可提供安全的分层存储，用于配置数据管理和密钥管理。您可以将密码、数据库字符串、Amazon Machine Image (AMI) ID 和许可证代码等数据存储为参数值。可以将值存储为纯文本或加密数据。您可以使用创建 Systems Manager 参数时指定的唯一名称，在脚本、命令、SSM 文档以及配置和自动化工作流中引用该参数。要开始使用 Parameter Store，请打开 Systems Manager 控制台。在导航窗格中，选择 Parameter Store。

Parameter Store 还与 Secrets Manager 进行了集成。您可以在使用其他已支持引用 Parameter Store 参数的 AWS 服务时检索 Secrets Manager 密钥。有关更多信息，请参阅 通过 Parameter Store 参数引用 AWS Secrets Manager 密钥。

我的组织如何从 Parameter Store 获益？

Parameter Store 具备下列优势：

谁应该使用 Parameter Store？

Parameter Store 具有哪些功能？

什么是参数？

Parameter Store 参数是保存在 Parameter Store 中的任何数据片段，例如文本数据块、名称列表、密码、AMI ID、许可证密钥等。可以在脚本、命令和 SSM 文档中集中安全地引用此数据。

在引用参数时，使用以下惯例指定参数名称。

{{ssm:parameter-name}}

Parameter Store 支持三种类型的参数：String、StringList 和 SecureString。

有一个例外，当创建或更新参数时，您将以明文形式输入参数值，并且 Parameter Store 不对输入的文本执行验证。但是，对于 String 参数，您可以将数据类型指定为 aws:ec2:image，并且 Parameter Store 会验证您输入的值是否为 Amazon EC2 AMI 的正确格式；例如：ami-12345abcdeEXAMPLE。

参数类型：String

默认情况下，String 参数由您输入的任何文本数据块组成。例如：

参数类型：StringList

StringList 参数包含以逗号分隔的值列表，如下面的示例所示。

Monday,Wednesday,Friday

CSV,TSV,CLF,ELF,JSON

参数类型：SecureString

SecureString 参数是需要以安全的方式存储和引用的任何敏感数据。如果您有不希望用户更改或以明文形式引用的数据（例如密码或许可证密钥），则应使用 SecureString 数据类型创建这些参数。

建议您在以下情形中使用 SecureString 参数：

您可以将 SecureString 参数类型用于要加密的文本数据，例如密码、应用程序密钥、机密配置数据或需要保护的任何其他类型的数据。使用 AWS KMS 密钥对 SecureString 数据进行加密和解密。您可以使用 AWS 提供的默认 KMS 密钥，也可以创建和使用您自己的 AWS KMS key。（如果您想要限制用户对 SecureString 参数的访问，可以使用自己的 AWS KMS key。有关更多信息，请参阅 有关使用 AWS 默认密钥和客户托管密钥的 IAM 权限。）

您还可以将 SecureString 参数与其他 AWS 服务结合使用。在以下示例中，Lambda 函数使用 GetParameters API 检索 SecureString 参数。

import json
import boto3
ssm = boto3.client('ssm', 'us-east-2')
def get_parameters():
    response = ssm.get_parameters(
        Names=['LambdaSecureString'],WithDecryption=True
    )
    for parameter in response['Parameters']:
        return parameter['Value']
        
def lambda_handler(event, context):
    value = get_parameters()
    print("value1 = " + value)
    return value  # Echo back the first key value

AWS KMS 加密和定价

如果您在创建参数时选择了 SecureString 参数类型，Systems Manager 将使用 AWS KMS 加密参数值。

创建 SecureString 参数不收取 Parameter Store 任何费用，但使用 AWS KMS 加密的费用确实适用。有关更多信息，请参阅 AWS Key Management Service 定价。

有关 AWS 托管式密钥和客户管理型密钥的更多信息，请参阅《AWS Key Management Service 开发人员指南》中的 AWS Key Management Service 概念。有关 Parameter Store 和 AWS KMS 加密的更多信息，请参阅 AWS Systems ManagerParameter Store 如何使用 AWS KMS。

aws kms describe-key --key-id alias/aws/ssm