• AWS Systems Manager CloudWatch ダッシュボードは、2026 年 4 月 30 日以降は利用できなくなります。お客様は、これまでと同様に Amazon CloudWatch コンソールを使用して、Amazon CloudWatch ダッシュボードの表示、作成、管理を継続できます。詳細については、「[Amazon CloudWatch ダッシュボードのドキュメント](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html)」を参照してください。

# `SecureString` パラメータ値の復号化の制限
<a name="ps-restrict-decryption"></a>

`SecureString` パラメータ値は AWS KMS キーを使用して暗号化されます。復号化された値を取得するプリンシパルには、呼び出す Parameter Store オペレーションに関わらず、そのキーに対する `kms:Decrypt` アクセス許可が必要です。1 つの AWS KMS ポリシーステートメントがすべての取得パスに同時に適用されるため、AWS KMS キーアクセス許可は `SecureString` パラメータに対する効果的なコントロールとなります。

このコントロールを効果的に使用するには、AWS マネージドキー ではなくカスタマーマネージドキーを使用して機密パラメータを暗号化します。

**重要**  
Parameter Store (`aws/ssm`) の AWS マネージドキー は、AWS アカウント 内のすべての IAM プリンシパルに `Decrypt` アクセス許可を付与します。アカウント内の `SecureString` パラメータに異なるレベルのアクセスが必要な場合は、デフォルトのキーで暗号化しないでください。

AWS マネージドキー へのアクセスを拒否する方法やカスタマーマネージドキーへのアクセスを許可する方法など、キーポリシーの例については、「[AWS KMS キーを使用したパラメータの暗号化と復号](parameter-store-setting-up.md#ps-kms-permissions)」を参照してください。

**注記**  
`kms:Decrypt` を制限すると、プリンシパルは暗号化された*値*を読み取れなくなります。暗号化されていないパラメータの名前、説明、またはその他のメタデータは非表示にならず、パラメータの一覧表示も妨げられません。[特定のパラメータとパスへのアクセスの制限](ps-restrict-parameter-access.md) に記載されているとおり、Parameter Store アクション拒否を使用してそれらを制御します。