• AWS Systems Manager CloudWatch ダッシュボードは、2026 年 4 月 30 日以降は利用できなくなります。お客様は、これまでと同様に Amazon CloudWatch コンソールを使用して、Amazon CloudWatch ダッシュボードの表示、作成、管理を継続できます。詳細については、「[Amazon CloudWatch ダッシュボードのドキュメント](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html)」を参照してください。

# 特定のパラメータとパスへのアクセスの制限
<a name="ps-restrict-parameter-access"></a>

パラメータまたは一連のパラメータへのアクセスを制限するには、次の方法を使用します。このアプローチは、「[Parameter Store がパラメータの取得を許可する仕組み](ps-retrieval-authorization.md)」で説明する認可動作を反映しています。

**特定のパラメータまたはパスへのアクセスを制限するには**

1. **広範なアクセスを拒否することより、狭いアクセスを許可することを優先します。**可能な場合は、広範なアクセスを許可してそこから減算するのではなく、プリンシパルが必要とするパラメータの最小セットに `Allow` ステートメントをスコープします。パラメータへのアクセスを許可しない `Allow` ステートメントは、すべてのアクションを正しく列挙することに依存しません。

1. **機密パラメータを独自のパスに分割します。**機密性の高いパラメータが、プリンシパルが読み取ることができるパラメータとパスを共有しない場合、アクセスの制限はよりシンプルになります。例えば、制限された値は `/myapp/restricted/` に保存し、一般的な設定は `/myapp/config/` に保存します。パラメータの整理の詳細については、「[Parameter Store でのパラメータ階層の使用](sysman-paramstore-hierarchies.md)」を参照してください。

1. **アクセスを拒否する場合は、値を返すことができるすべてのアクションを拒否します。**`ssm:GetParameter`、`ssm:GetParameters`、`ssm:GetParameterHistory`、`ssm:GetParametersByPath` を含めるか、`ssm:GetParameter*` を使用して 4 つすべてに一致させます。

1. **`GetParametersByPath` の場合、すべての祖先パスを拒否します。**パラメータ自体の ARN を拒否しても、その上のパスに対する呼び出しによってパラメータが返されるのを防ぐことはできません。`/myapp/restricted/db-password` を保護するには、`/myapp/restricted`、`/myapp`、`/` で `ssm:GetParametersByPath` を拒否します。

1. **`SecureString` パラメータの場合は、KMS キーの `kms:Decrypt` を制限します。**復号化された `SecureString` 値を取得するには、使用する Parameter Store オペレーションに関係なく、その値を暗号化したキーに対する `kms:Decrypt` アクセス許可が必要です。`kms:Decrypt` を拒否すると、すべての取得パスによる復号化が防止されます。「[`SecureString` パラメータ値の復号化の制限](ps-restrict-decryption.md)」を参照してください。

1. **結果を確認します。**制限されたプリンシパルとして各取得オペレーションをテストします。各祖先パスに対する `GetParametersByPath` のテストを含めて、ポリシーが意図したとおりに動作することを確認します。IAM [ポリシーシミュレーター](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_testing-policies.html)を使用して、特定のアクションとリソースに対してポリシーを評価することもできます。

IAM が `Allow` と `Deny` ステートメントを組み合わせる方法の詳細については、「*IAM ユーザーガイド*」の「[ポリシー評価ロジック](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)」を参照してください。