• Das AWS Systems Manager CloudWatch Dashboard wird nach dem 30. April 2026 nicht mehr verfügbar sein. Kunden können die CloudWatch Amazon-Konsole weiterhin verwenden, um ihre CloudWatch Amazon-Dashboards anzuzeigen, zu erstellen und zu verwalten, so wie sie es heute tun. Weitere Informationen finden Sie in der [ Amazon CloudWatch Dashboard-Dokumentation](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html).
Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Einrichtung Parameter Store
Bevor Sie Parameter einrichtenParameter Store, konfigurieren Sie AWS Identity and Access Management (IAM-) Richtlinien, die den Principals in Ihrem Konto die Erlaubnis geben, die von Ihnen angegebenen Aktionen auszuführen.
In diesem Abschnitt erfahren Sie, wie Sie diese Richtlinien mithilfe der IAM-Konsole manuell konfigurieren und wie Sie sie Benutzern und Benutzergruppen zuweisen. Darüber hinaus können Sie Richtlinien erstellen und zuordnen, um zu steuern, welche Parameteraktionen auf einem verwalteten Knoten ausgeführt werden dürfen.
In diesem Abschnitt wird auch erklärt, wie Sie EventBridge Amazon-Regeln erstellen, mit denen Sie Benachrichtigungen über Änderungen der Systems Manager-Parameter erhalten können. Sie können EventBridge Regeln verwenden, um andere Aktionen auf der AWS Grundlage von Änderungen in Parameter Store aufzurufen.
**Topics**
+ [Verwaltung des Zugriffs auf Parameter Store Parameter mithilfe von IAM-Richtlinien](#sysman-paramstore-access)
+ [Auswahl von Parameterstufen in Parameter Store](parameter-store-advanced-parameters.md)
+ [Verwalten Parameter Store Durchsatz](parameter-store-throughput.md)
+ [Benachrichtigungen einrichten oder Aktionen auslösen auf der Grundlage von Parameter Store Veranstaltungen](sysman-paramstore-cwe.md)
## Verwaltung des Zugriffs auf Parameter Store Parameter mithilfe von IAM-Richtlinien
Der IAM-Prinzipal, der auf AWS Systems Manager Parameter zugreift, muss über die Berechtigung verfügen, die erforderlichen SSM-Aktionen auszuführen. Der Prinzipal kann ein IAM-Benutzer, eine IAM-Rolle, ein Amazon EC2-Instance-Profil, eine Lambda-Ausführungsrolle, eine Amazon ECS-Aufgabenrolle, eine Servicerolle oder eine andere CodeBuild Servicerolle sein. AWS
In der folgenden Tabelle werden die IAM-Berechtigungen beschrieben, die für verschiedene Aktionen erforderlich sind. Parameter Store
| Action | Erforderliche IAM-Privilegien | Referenzinformationen |
| --- | --- | --- |
| Erstellen oder aktualisieren Sie einen Parameter | ssm:PutParameter | [PutParameter](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PutParameter.html) |
| Ruft einen Parameter ab | ssm:GetParameter | [GetParameter](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameter.html) |
| Ruft mehrere benannte Parameter ab | ssm:GetParameters | [GetParameters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameters.html) |
| Ruft Parameter unter einem Pfad ab | ssm:GetParametersByPath | [GetParametersByPath](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParametersByPath.html) |
| Parameter-Metadaten anzeigen | ssm:DescribeParameters | [DescribeParameters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DescribeParameters.html) |
| Versionsverlauf der Parameter anzeigen | ssm:GetParameterHistory | [GetParameterHistory](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameterHistory.html) |
| Löschen Sie einen Parameter | ssm:DeleteParameter | [DeleteParameter](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DeleteParameter.html) |
| Löschen Sie mehrere Parameter | ssm:DeleteParameters | [DeleteParameters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DeleteParameters.html) |
Wenn Sie IAM-Richtlinien verwenden, um Zugriff auf Systems Manager-Parameter zu gewähren, empfehlen wir, * restriktive * IAM-Richtlinien zu erstellen und zu verwenden. Die folgende Richtlinie ermöglicht es beispielsweise einem Principal, die `DescribeParameters` und `GetParameters` API-Operationen für eine begrenzte Anzahl von Ressourcen aufzurufen. Der Prinzipal kann Informationen über alle Parameter abrufen und diese verwenden, die mit beginnen`prod-*`.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ssm:DescribeParameters"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"ssm:GetParameters"
],
"Resource": "arn:aws:ssm:{{us-east-1}}:{{111122223333}}:parameter/prod-*"
}
]
}
```
------
**Anmerkung**
Die vorstehende Richtlinie erlaubt`ssm:GetParameters`, aber nicht die anderen Abrufaktionen. Parameter Storeautorisiert jeden Abrufvorgang anhand seiner eigenen IAM-Aktion, sodass sich das Zulassen oder Verweigern einer Aktion nicht auf die anderen auswirkt. Bevor Sie sich auf eine Richtlinie verlassen, um einzuschränken, welche Parameter ein Principal lesen kann, lesen Sie unter und. [Wie Parameter Store autorisiert den Parameterabruf](ps-retrieval-authorization.md) [Beschränkung des Zugriffs auf bestimmte Parameter und Pfade](ps-restrict-parameter-access.md)
**Wichtig**
Parameter Storeautorisiert den `GetParametersByPath` Vorgang für den Pfad, den Sie in der Anforderung angeben, nicht für jeden Parameter, den der Vorgang zurückgibt. Ein Principal, der den Pfad aufrufen `GetParametersByPath` darf, `/a` erhält alle Parameter unter diesem Pfad, einschließlich`/a/b`. Dies gilt auch dann, wenn dieselbe Richtlinie den Zugriff auf `/a/b` andere Aktionen ausdrücklich verweigert.
Um zu verhindern, dass ein Parameter zurückgegeben wird`GetParametersByPath`, lehnen Sie die `ssm:GetParametersByPath` Aktion auf jedem Vorgängerpfad ab, der den Parameter in den Ergebnissen enthalten könnte. Um beispielsweise zu `/a/b` verhindern, dass eine Rückgabe erfolgt, verweigern `ssm:GetParametersByPath` Sie `/a` sowohl `/` als auch.
Vertrauenswürdigen Administratoren können Sie mithilfe einer Richtlinie ähnlich dem folgenden Beispiel Zugriff auf alle API-Operationen für Systems Manager-Parameter gewähren. Mit dieser Richtlinie erhält der Benutzer vollen Zugriff auf alle Produktionsparameter, die mit `dbserver-prod-*` beginnen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ssm:PutParameter",
"ssm:DeleteParameter",
"ssm:GetParameterHistory",
"ssm:GetParametersByPath",
"ssm:GetParameters",
"ssm:GetParameter",
"ssm:DeleteParameters"
],
"Resource": "arn:aws:ssm:{{us-east-1}}:111122223333:parameter/dbserver-prod-*"
},
{
"Effect": "Allow",
"Action": "ssm:DescribeParameters",
"Resource": "*"
}
]
}
```
------
### Verweigern von Berechtigungen
Jede API ist einzigartig und verfügt über unterschiedliche Operationen und Berechtigungen, die Sie einzeln zulassen oder verweigern können. Eine explizite Zugriffsverweigerung überschreibt jede Zugriffserlaubnis in einer Richtlinie.
**Wichtig**
Da jeder Vorgang für seine eigene IAM-Aktion autorisiert wird, verhindert das Verweigern einer einzelnen Aktion nicht, dass ein Prinzipal denselben Parameter über einen anderen Vorgang abruft. Beispielsweise hat das alleinige `ssm:GetParameter` Verweigern keine Auswirkung auf`ssm:GetParameters`, oder. `ssm:GetParameterHistory` `ssm:GetParametersByPath` Lehnen Sie immer jede Aktion ab, die den Wert zurückgeben kann. Eine vollständige Beschreibung dieses Verhaltens finden Sie unter[Wie Parameter Store autorisiert den Parameterabruf](ps-retrieval-authorization.md).
**Anmerkung**
Der Standardschlüssel AWS Key Management Service (AWS KMS) hat `Decrypt` Berechtigungen für alle IAM-Prinzipale innerhalb von. AWS-Konto Wenn Sie unterschiedliche Zugriffsebenen für `SecureString` Parameter in Ihrem Konto wünschen, raten wir davon ab, den Standardschlüssel zu verwenden. Die Beschränkung `kms:Decrypt` auf einen vom Kunden verwalteten Schlüssel verhindert, dass ein `SecureString` Wert bei jedem Abrufvorgang entschlüsselt wird. Weitere Informationen finden Sie unter [Einschränkung der Entschlüsselung von Parameterwerten `SecureString`](ps-restrict-decryption.md).
Alle vier Namen für Abrufaktionen beginnen mit`GetParameter`, sodass der einzelne Eintrag die Begriffe`ssm:GetParameter`,, `ssm:GetParameters` und `ssm:GetParameter*` umfasst. `ssm:GetParameterHistory` `ssm:GetParametersByPath` Im folgenden Beispiel wird dieses Muster verwendet, um alle vier Aktionen für alle Parameter, die mit `prod-*` beginnen, abzulehnen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"ssm:GetParameter*"
],
"Resource": "arn:aws:ssm:{{us-east-1}}:{{111122223333}}:parameter/prod-*"
}
]
}
```
------
**Anmerkung**
Im vorherigen Beispiel `ssm:GetParametersByPath` gilt das Deny-On-Verfahren nur für Aufrufe, die * eine Pfadübereinstimmung * anfordern`prod-*`. Es verhindert nicht, dass ein `prod-*` Parameter bei einem Aufruf zurückgegeben wird, der einen Vorgängerpfad anfordert. Um diese Lücke zu schließen, sollten Sie auch die Vorgängerpfade ablehnen`ssm:GetParametersByPath`. Weitere Informationen finden Sie unter [Beschränkung des Zugriffs auf bestimmte Parameter und Pfade](ps-restrict-parameter-access.md).
Das folgende Beispiel zeigt, wie einige Befehle verweigert werden, während der Benutzer andere Befehle für alle Parameter ausführen kann, die mit `prod-*` beginnen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"ssm:PutParameter",
"ssm:DeleteParameter",
"ssm:DeleteParameters",
"ssm:DescribeParameters"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"ssm:GetParametersByPath",
"ssm:GetParameters",
"ssm:GetParameter",
"ssm:GetParameterHistory"
],
"Resource": "arn:aws:ssm:{{us-east-1}}:111122223333:parameter/prod-*"
}
]
}
```
------
**Anmerkung**
Der Parameterverlauf umfasst alle Parameterversionen, einschließlich der aktuellen. Wenn einem Benutzer daher die Berechtigung für `GetParameter`, `GetParameters` und `GetParametersByPath` nicht gewährt wird, er aber die Berechtigung für `GetParameterHistory` erhält, kann er den aktuellen Parameter, einschließlich `SecureString`, unter Verwnedung von `GetParameterHistory` sehen.
Das gleiche Verhalten gilt für das Löschen. `ssm:DeleteParameters`ist unabhängig von autorisiert. Nur `ssm:DeleteParameter` das Ablehnen verhindert also nicht`ssm:DeleteParameter`, dass ein Prinzipal den Parameter zusammen mit der `DeleteParameters` Operation löscht. Lehnen Sie beide Aktionen ab oder verwenden Sie das Muster`ssm:DeleteParameter*`.
### Verschlüsseln und Entschlüsseln von Parametern mit AWS KMS keys
Parameter Store`SecureString`Parameter verwenden AWS KMS Schlüssel für die Verschlüsselung. AWS KMS verschlüsselt den Wert entweder mithilfe eines Von AWS verwalteter Schlüssel oder eines vom Kunden verwalteten Schlüssels. Weitere Informationen zu AWS KMS und AWS KMS key finden Sie im * [AWS Key Management Service Entwicklerhandbuch ](https://docs.aws.amazon.com/kms/latest/developerguide/)*.
Alle Benutzer innerhalb des Kundenkontos haben Zugriff auf den standardmäßig AWS verwalteten Schlüssel. Den Amazon-Ressourcennamen (ARN) des Standardschlüssels finden Sie in der AWS KMS Konsole auf der [ Seite mit ](https://console.aws.amazon.com/kms/home#/kms/defaultKeys)AWS verwalteten Schlüsseln. Der Standardschlüssel wird mit `aws/ssm` in der Spalte **Alias** identifiziert. Möglicherweise möchten Sie den Standardschlüssel verwenden, um `SecureString` Parameter zu verschlüsseln und gleichzeitig zu verhindern, dass Benutzer mit `SecureString` Parametern arbeiten. In diesem Fall müssen die IAM-Richtlinien den Zugriff auf den Standardschlüssel explizit verweigern, wie das folgende Richtlinienbeispiel zeigt.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"kms:Decrypt",
"kms:GenerateDataKey"
],
"Resource": [
"arn:aws:kms:{{us-east-1}}:{{111122223333}}:key/abcd1234-ab12-cd34-ef56-abcdeEXAMPLE"
]
}
]
}
```
------
Bei Verwendung eines vom Kunden verwalteten Schlüssels muss die IAM-Richtlinie, die einem Prinzipal Zugriff auf einen Parameter oder Parameterpfad gewährt, explizite `kms:Encrypt` Berechtigungen für den Schlüssel vorsehen. Die folgende Richtlinie ermöglicht es beispielsweise einem Prinzipal, `SecureString` Parameter zu erstellen, zu aktualisieren und anzuzeigen, die mit `prod-` dem angegebenen AWS-Region und AWS-Konto beginnen.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ssm:PutParameter",
"ssm:GetParameter",
"ssm:GetParameters"
],
"Resource": [
"arn:aws:ssm:{{us-east-1}}:{{111122223333}}:parameter/prod-*"
]
},
{
"Effect": "Allow",
"Action": [
"kms:Decrypt",
"kms:Encrypt",
"kms:GenerateDataKey"
],
"Resource": [
"arn:aws:kms:{{us-east-1}}:{{111122223333}}:key/1234abcd-12ab-34cd-56ef-12345EXAMPLE"
]
}
]
}
```
------
**Anmerkung**
Um verschlüsselte erweiterte Parameter mit dem angegebenen kundenverwalteten Schlüssel zu erstellen, ist die Berechtigung `kms:GenerateDataKey` erforderlich.
Wenn Sie eine detaillierte Zugriffskontrolle für die `SecureString` Parameter in Ihrem Konto benötigen, verwenden Sie einen vom Kunden verwalteten Schlüssel, um den Zugriff auf diese Parameter zu schützen und einzuschränken. Wir empfehlen auch, ihn AWS CloudTrail zur Überwachung der `SecureString` Parameteraktivitäten zu verwenden.
Weitere Informationen finden Sie unter den folgenden Themen:
+ [Auswertungslogik für Richtlinien](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) im *IAM-Benutzerhandbuch*
+ [Verwenden von Schlüsselrichtlinien in AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html) im *AWS Key Management Service -Benutzerhandbuch*
+ [Ereignisse mit dem CloudTrail Eventverlauf ](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html) im *AWS CloudTrail Benutzerhandbuch anzeigen *
### Erlaubt verwalteten Knoten den Zugriff auf bestimmte Parameter
Um zu steuern, welche Parameter Store Parameter ein verwalteter Knoten abrufen kann, können Sie der Instanzrolle eine IAM-Richtlinie hinzufügen. Wenn Sie den `SecureString` Parametertyp bei der Erstellung Ihres Parameters auswählen, verwendet Systems Manager ihn AWS KMS zum Verschlüsseln des Parameterwerts. Sie können das anzeigen, Von AWS verwalteter Schlüssel indem Sie den folgenden Befehl in der AWS CLI ausführen.
```
aws kms describe-key --key-id alias/aws/ssm
```
Im folgenden Beispiel dürfen Knoten einen Parameterwert nur für Parameter abrufen, die mit `prod-` beginnen. Wenn der Parameter ein `SecureString`-Parameter ist, entschlüsselt der Knoten die Zeichenfolge mit AWS KMS.
**Anmerkung**
Instance-Richtlinien wie im folgenden Beispiel werden der Instance-Rolle in IAM zugeordnet. Weitere Informationen zur Konfiguration des Zugriffs auf Systems Manager-Funktionen einschließlich einer Anleitung für die Zuweisung von Richtlinien für Benutzer und Instances finden Sie unter [Verwalten von EC2-Instances mit Systems Manager](systems-manager-setting-up-ec2.md).
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ssm:GetParameters"
],
"Resource": [
"arn:aws:ssm:{{us-east-1}}:111122223333:parameter/prod-*"
]
},
{
"Effect": "Allow",
"Action": [
"kms:Decrypt"
],
"Resource": [
"arn:aws:kms:{{us-east-1}}:111122223333:key/4914ec06-e888-4ea5-a371-5b88eEXAMPLE"
]
}
]
}
```
------