Zuweisen von Parameterrichtlinien - AWS Systems Manager
Hinzufügen von Richtlinien zu einem vorhandenen Parameter

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Zuweisen von Parameterrichtlinien

Parameterrichtlinien unterstützen Sie bei der Verwaltung einer wachsenden Menge von Parametern, indem Sie einem Parameter bestimmte Kriterien zuweisen können, wie etwa Ablaufdatum oder Time to Live (Gültigkeitsdauer). Parameterrichtlinien sind besonders hilfreich, um Sie zu zwingen, Passwörter und Konfigurationsdaten zu aktualisieren oder zu löschen, die in gespeichert sindParameter Store, eine Funktion von AWS Systems Manager. Parameter Storebietet die folgenden Arten von Richtlinien: ExpirationExpirationNotification, undNoChangeNotification.

Anmerkung

Um Lebenszyklen für die Passwortrotation zu implementieren, verwenden Sie. AWS Secrets Manager Sie können Datenbankanmeldeinformationen, API-Schlüssel und andere geheime Informationen mit Secrets Manager während ihres gesamten Lebenszyklus mühelos rotieren, verwalten und abfragen. Weitere Informationen finden Sie unter Was ist? AWS Secrets Manager im AWS Secrets Manager Benutzerhandbuch.

Parameter Store erzwingt Parameterrichtlinien durch asynchrone, periodische Scans. Nachdem Sie eine Richtlinie erstellt haben, müssen Sie weitere Aktionen ausführen, um die Richtlinie zu erzwingen. Parameter Store führt die von der Richtlinie definierte Aktion gemäß den von Ihnen angegebenen Kriterien unabhängig aus.

Anmerkung

Parameterrichtlinien sind nur verfügbar für Parameter, die das Kontingent für erweiterte Parameter verwenden. Weitere Informationen finden Sie unter Verwalten von Parameterstufen.

Eine Parameterrichtlinie ist ein JSON-Array, wie in der folgenden Tabelle gezeigt. Sie können eine Richtlinie zuweisen, wenn Sie einen neuen erweiterten Parameter erstellen, oder Sie können eine Richtlinie anwenden, indem Sie einen Parameter aktualisieren. Parameter Store unterstützt die folgenden Arten von Parameterrichtlinien.

Richtlinie Details Beispiele

Ablauf

Diese Richtlinie löscht den Parameter. Sie können ein bestimmtes Datum und eine bestimmte Uhrzeit im Format ISO_INSTANT oder ISO_OFFSET_DATE_TIME angeben. Wenn Sie den Zeitpunkt für das Löschen des Parameters ändern möchten, aktualisieren Sie die Richtlinie. Das Aktualisieren eines Parameters hat keine Auswirkungen auf das Ablaufdatum oder die Uhrzeit der angefügten Richtlinie. Wenn das Ablaufdatum und die Uhrzeit erreicht ist, löscht Parameter Store den Parameter.

Anmerkung

Für das Beispiel wird das Format ISO_INSTANT verwendet. Sie können auch ein Datum und eine Uhrzeit im Format ISO_OFFSET_DATE_TIME angeben. Hier ist ein Beispiel: 2019-11-01T22:13:48.87+10:30:00.

 
{
    "Type": "Expiration",
    "Version": "1.0",
    "Attributes": {
        "Timestamp": "2018-12-02T21:34:33.000Z"
    }
}

ExpirationNotification

Diese Richtlinie löst ein Ereignis in Amazon EventBridge (EventBridge) aus, das Sie über den Ablauf informiert. Mithilfe dieser Richtlinie können Sie Benachrichtigungen erhalten, bevor die Ablaufzeit erreicht ist, und zwar in Einheiten von Tagen oder Stunden.

 
{
    "Type": "ExpirationNotification",
    "Version": "1.0",
    "Attributes": {
        "Before": "15",
        "Unit": "Days"
    }
}

NoChangeNotification

Diese Richtlinie löst ein Ereignis aus, EventBridge wenn ein Parameter für einen bestimmten Zeitraum nicht geändert wurde. Dieser Richtlinientyp ist beispielsweise nützlich, wenn ein Passwort in einem bestimmten Zeitraum geändert werden muss.

Diese Richtlinie bestimmt anhand des LastModifiedTime-Attributs des Parameters, wann eine Benachrichtigung gesendet wird. Wenn Sie einen Parameter ändern oder bearbeiten, setzt das System den Benachrichtigungszeitraum basierend auf dem neuen Wert für LastModifiedTime zurück.

 
{
    "Type": "NoChangeNotification",
    "Version": "1.0",
    "Attributes": {
        "After": "20",
        "Unit": "Days"
    }
}

Sie können einem Parameter mehrere Richtlinien zuweisen. Sie können beispielsweise ExpirationNotification Richtlinien zuweisenExpiration, sodass das System ein EventBridge Ereignis auslöst, um Sie über das bevorstehende Löschen eines Parameters zu informieren. Sie können einem Parameter maximal zehn (10) Richtlinien zuweisen.

Das folgende Beispiel zeigt die Anforderungssyntax für eine PutParameterAPI-Anfrage, die einem neuen SecureString Parameter mit dem Namen vier Richtlinien zuweist. ProdDB3

{
    "Name": "ProdDB3",
    "Description": "Parameter with policies",
    "Value": "P@ssW*rd21",
    "Type": "SecureString",
    "Overwrite": "True",
    "Policies": [
        {
            "Type": "Expiration",
            "Version": "1.0",
            "Attributes": {
                "Timestamp": "2018-12-02T21:34:33.000Z"
            }
        },
        {
            "Type": "ExpirationNotification",
            "Version": "1.0",
            "Attributes": {
                "Before": "30",
                "Unit": "Days"
            }
        },
        {
            "Type": "ExpirationNotification",
            "Version": "1.0",
            "Attributes": {
                "Before": "15",
                "Unit": "Days"
            }
        },
        {
            "Type": "NoChangeNotification",
            "Version": "1.0",
            "Attributes": {
                "After": "20",
                "Unit": "Days"
            }
        }
    ]
}

Hinzufügen von Richtlinien zu einem vorhandenen Parameter

Dieser Abschnitt enthält Informationen zum Hinzufügen von Richtlinien zu einem vorhandenen Parameter mithilfe der AWS Systems Manager Konsole, der AWS Command Line Interface (AWS CLI) und AWS Tools for Windows PowerShell . Weitere Informationen zum Erstellen eines neuen Parameters mit Richtlinien finden Sie unter Erstellen von Systems Manager-Parametern.

Hinzufügen von Richtlinien zu einem vorhandenen Parameter (Konsole)

Gehen Sie wie folgt vor, um Richtlinien zu einem vorhandenen Parameter über die Systems Manager-Konsole hinzufügen.

So fügen Sie einem vorhandenen Parameter Richtlinien hinzu

  1. Öffnen Sie die AWS Systems Manager Konsole unter https://console.aws.amazon.com/systems-manager/.

  2. Wählen Sie im Navigationsbereich Parameter Store aus.

  3. Wählen Sie die Option neben dem Parameter, den Sie aktualisieren möchten, um Richtlinien einzuschließen, und klicken Sie anschließend auf Edit (Bearbeiten).

  4. Wählen Sie Advanced (Erweitert) aus.

  5. (Optional) Wählen Sie im Abschnitt Parameter policies (Parameterrichtlinien) die Option Enabled (Aktiviert) aus. Sie können ein Ablaufdatum und ein oder mehrere Benachrichtigungsrichtlinien für diesen Parameter angeben.

  6. Wählen Sie Änderungen speichern aus.

Wichtig

  • Parameter Store behält Richtlinien für einen Parameter bei, bis Sie entweder die Richtlinien mit neuen Richtlinien überschreiben oder die Richtlinien entfernen.

  • Um alle Richtlinien aus einem vorhandenen Parameter zu entfernen, bearbeiten Sie den Parameter und wenden Sie eine leere Richtlinie mithilfe von eckigen und geschweiften Klammern wie folgt an: [{}]

  • Wenn Sie einem Parameter mit Richtlinien eine neue Richtlinie hinzufügen, überschreibt Systems Manager die dem Parameter angefügten Richtlinien. Die vorhandenen Richtlinien werden gelöscht. Wenn Sie einem Parameter mit einer oder mehrere Richtlinien eine neue Richtlinie hinzufügen möchten, müssen Sie die ursprünglichen Richtlinien kopieren und einfügen, die neue Richtlinie eingeben und Ihre Änderungen speichern.

Hinzufügen von Richtlinien zu einem vorhandenen Parameter (AWS CLI)

Gehen Sie wie folgt vor, um einem vorhandenen Parameter mit der AWS CLI Richtlinien hinzuzufügen.

So fügen Sie einem vorhandenen Parameter Richtlinien hinzu

  1. Installieren und konfigurieren Sie AWS Command Line Interface (AWS CLI), falls Sie dies noch nicht getan haben.

    Weitere Informationen finden Sie unter Installieren oder Aktualisieren der neuesten Version von AWS CLI.

  2. Führen Sie den folgenden Befehl zum Hinzufügen von Richtlinien zu einem vorhandenen Parameter aus. Ersetzen Sie jeden Beispiel Platzhalter für Ressourcen mit Ihren eigenen Informationen.

    Linux & macOS
    aws ssm put-parameter   
    --name "parameter name" \
    --value 'parameter value' \
    --type parameter type \
    --overwrite \
    --policies "[{policies-enclosed-in-brackets-and-curly-braces}]"
    Windows
    aws ssm put-parameter   
    --name "parameter name" ^
    --value 'parameter value' ^
    --type parameter type ^
    --overwrite ^
    --policies "[{policies-enclosed-in-brackets-and-curly-braces}]"

    Hier sehen Sie ein Beispiel mit einer Ablaufrichtlinie, mit der der Parameter nach 15 Tagen gelöscht wird. Das Beispiel enthält auch eine Benachrichtigungsrichtlinie, die fünf (5) Tage vor dem Löschen des Parameters ein EventBridge Ereignis generiert. Außerdem umfasst es eine NoChangeNotification-Richtlinie für den Fall, dass an diesem Parameter nach 60 Tagen keine Änderungen vorgenommen werden. Im folgenden Beispiel wird ein verschleierter Name (3l3vat3131) für ein Passwort und einen AWS Key Management Service ( AWS KMS key) verwendet. Weitere Informationen zu AWS KMS keys finden Sie unter AWS Key Management Service Konzepte im AWS Key Management Service Entwicklerhandbuch.

    Linux & macOS
    aws ssm put-parameter \
    --name "/Finance/Payroll/3l3vat3131" \
    --value "P@sSwW)rd" \
    --type "SecureString" \
    --overwrite \
    --policies "[{\"Type\":\"Expiration\",\"Version\":\"1.0\",\"Attributes\":{\"Timestamp\":\"2020-05-13T00:00:00.000Z\"}},{\"Type\":\"ExpirationNotification\",\"Version\":\"1.0\",\"Attributes\":{\"Before\":\"5\",\"Unit\":\"Days\"}},{\"Type\":\"NoChangeNotification\",\"Version\":\"1.0\",\"Attributes\":{\"After\":\"60\",\"Unit\":\"Days\"}}]"
    Windows
    aws ssm put-parameter ^
    --name "/Finance/Payroll/3l3vat3131" ^
    --value "P@sSwW)rd" ^
    --type "SecureString" ^
    --overwrite ^
    --policies "[{\"Type\":\"Expiration\",\"Version\":\"1.0\",\"Attributes\":{\"Timestamp\":\"2020-05-13T00:00:00.000Z\"}},{\"Type\":\"ExpirationNotification\",\"Version\":\"1.0\",\"Attributes\":{\"Before\":\"5\",\"Unit\":\"Days\"}},{\"Type\":\"NoChangeNotification\",\"Version\":\"1.0\",\"Attributes\":{\"After\":\"60\",\"Unit\":\"Days\"}}]"

  3. Führen Sie den folgenden Befehl aus, um die Details zu einem Parameter zu überprüfen. Ersetzen Sie Parametername durch Ihre eigenen Informationen.

    Linux & macOS
    aws ssm describe-parameters  \
    --parameter-filters "Key=Name,Values=parameter name"
    Windows
    aws ssm describe-parameters  ^
    --parameter-filters "Key=Name,Values=parameter name"
Wichtig

  • Parameter Store behält Richtlinien für einen Parameter bei, bis Sie entweder die Richtlinien mit neuen Richtlinien überschreiben oder die Richtlinien entfernen.

  • Um alle Richtlinien aus einem vorhandenen Parameter zu entfernen, bearbeiten Sie den Parameter und wenden Sie eine leere Richtlinie mithilfe von eckigen und geschweiften Klammern an. Ersetzen Sie jeden Beispiel Platzhalter für Ressourcen mit Ihren eigenen Informationen. Zum Beispiel:

    Linux & macOS
    aws ssm put-parameter \
    --name parameter name \
    --type parameter type  \
    --value 'parameter value' \
    --policies "[{}]"
    Windows
    aws ssm put-parameter ^
    --name parameter name ^
    --type parameter type  ^
    --value 'parameter value' ^
    --policies "[{}]"

  • Wenn Sie einem Parameter mit Richtlinien eine neue Richtlinie hinzufügen, überschreibt Systems Manager die dem Parameter angefügten Richtlinien. Die vorhandenen Richtlinien werden gelöscht. Wenn Sie einem Parameter mit einer oder mehrere Richtlinien eine neue Richtlinie hinzufügen möchten, müssen Sie die ursprünglichen Richtlinien kopieren und einfügen, die neue Richtlinie eingeben und Ihre Änderungen speichern.

Fügen Sie Richtlinien zu einem vorhandenen Parameter hinzu (Tools für Windows PowerShell)

Gehen Sie wie folgt vor, um mithilfe von Tools für Windows einem vorhandenen Parameter Richtlinien hinzuzufügen PowerShell. Ersetzen Sie jeden Beispiel Platzhalter für Ressourcen mit Ihren eigenen Informationen.

So fügen Sie einem vorhandenen Parameter Richtlinien hinzu

  1. Öffnen Sie Tools für Windows PowerShell und führen Sie den folgenden Befehl aus, um Ihre Anmeldeinformationen anzugeben. Sie müssen entweder über Administratorrechte in Amazon Elastic Compute Cloud (Amazon EC2) verfügen oder Ihnen müssen die entsprechenden Berechtigungen in AWS Identity and Access Management (IAM) erteilt worden sein. 

    Set-AWSCredentials `
    –AccessKey access-key-name `
    –SecretKey secret-key-name

  2. Führen Sie den folgenden Befehl aus, um die Region für Ihre PowerShell Sitzung festzulegen. Im Beispiel wird die Region USA Ost (Ohio) (us-east-2) verwendet.

    Set-DefaultAWSRegion `
    -Region us-east-2

  3. Führen Sie den folgenden Befehl zum Hinzufügen von Richtlinien zu einem vorhandenen Parameter aus. Ersetzen Sie jeden Beispiel Platzhalter für Ressourcen mit Ihren eigenen Informationen.

    Write-SSMParameter `
    -Name "parameter name" `
    -Value "parameter value" `
    -Type "parameter type" `
    -Policies "[{policies-enclosed-in-brackets-and-curly-braces}]" `
    -Overwrite

    Hier sehen Sie ein Beispiel mit einer Ablaufrichtlinie, mit der der Parameter am 13. Mai 2020 um Mitternacht (GMT) gelöscht wird. Das Beispiel enthält auch eine Benachrichtigungsrichtlinie, die fünf (5) Tage vor dem Löschen des Parameters ein EventBridge Ereignis generiert. Außerdem umfasst es eine NoChangeNotification-Richtlinie für den Fall, dass an diesem Parameter nach 60 Tagen keine Änderungen vorgenommen werden. Im folgenden Beispiel wird ein verschleierter Name (3l3vat3131) für einen Passwortparameter und einen Von AWS verwalteter Schlüssel verwendet.

    Write-SSMParameter `
    -Name "/Finance/Payroll/3l3vat3131" `
    -Value "P@sSwW)rd" `
    -Type "SecureString" `
    -Policies "[{\"Type\":\"Expiration\",\"Version\":\"1.0\",\"Attributes\":{\"Timestamp\":\"2018-05-13T00:00:00.000Z\"}},{\"Type\":\"ExpirationNotification\",\"Version\":\"1.0\",\"Attributes\":{\"Before\":\"5\",\"Unit\":\"Days\"}},{\"Type\":\"NoChangeNotification\",\"Version\":\"1.0\",\"Attributes\":{\"After\":\"60\",\"Unit\":\"Days\"}}]" `
    -Overwrite

  4. Führen Sie den folgenden Befehl aus, um die Details zu einem Parameter zu überprüfen. Ersetzen Sie Parametername durch Ihre eigenen Informationen.

    (Get-SSMParameterValue -Name "parameter name").Parameters
Wichtig

  • Parameter Store behält Richtlinien für einen Parameter bei, bis Sie entweder die Richtlinien mit neuen Richtlinien überschreiben oder die Richtlinien entfernen.

  • Um alle Richtlinien aus einem vorhandenen Parameter zu entfernen, bearbeiten Sie den Parameter und wenden Sie eine leere Richtlinie mithilfe von eckigen und geschweiften Klammern an. Zum Beispiel:

    Write-SSMParameter `
    -Name "parameter name" `
    -Value "parameter value" `
    -Type "parameter type" `
    -Policies "[{}]"

  • Wenn Sie einem Parameter mit Richtlinien eine neue Richtlinie hinzufügen, überschreibt Systems Manager die dem Parameter angefügten Richtlinien. Die vorhandenen Richtlinien werden gelöscht. Wenn Sie einem Parameter mit einer oder mehrere Richtlinien eine neue Richtlinie hinzufügen möchten, müssen Sie die ursprünglichen Richtlinien kopieren und einfügen, die neue Richtlinie eingeben und Ihre Änderungen speichern.