• O AWS Systems Manager CloudWatch Dashboard não estará mais disponível a partir de 30 de abril de 2026. Os clientes podem continuar usando o console do Amazon CloudWatch para visualizar, criar e gerenciar os painéis do Amazon CloudWatch exatamente como fazem hoje. Para obter mais informações, consulte a [documentação do Amazon CloudWatch](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html).
# Configurar o Parameter Store
Antes de configurar os parâmetros no Parameter Store, configure as políticas de AWS Identity and Access Management (IAM) que fornecem às entidades principais na sua conta as permissões para executar as ações especificadas.
Nesta seção, você aprenderá como configurar manualmente essas políticas usando o console do IAM e como atribuí-las a usuários e grupos de usuários. Você também pode criar e atribuir políticas para controlar quais ações de parâmetro podem ser executadas em um nó gerenciado.
Esta seção também explica como criar regras do Amazon EventBridge que permitem que você receba notificações sobre alterações nos parâmetros do Systems Manager. Você pode usar as regras do EventBridge para acionar outras ações na AWS com base nas alterações da Parameter Store.
**Topics**
+ [Gerenciar o acesso a parâmetros do Parameter Store usando políticas do IAM](#sysman-paramstore-access)
+ [Escolha dos níveis de parâmetros no Parameter Store](parameter-store-advanced-parameters.md)
+ [Gerenciando throughput do Parameter Store](parameter-store-throughput.md)
+ [Configurar notificações ou acionar ações com base nos eventos do Parameter Store](sysman-paramstore-cwe.md)
## Gerenciar o acesso a parâmetros do Parameter Store usando políticas do IAM
A entidade principal do IAM que acessa os parâmetros do AWS Systems Manager deve ter permissão para executar as ações necessárias no SSM. A entidade principal pode ser um usuário do IAM, um perfil do IAM, uma instância do Amazon EC2, um perfil de execução do Lambda, um perfil de tarefa do Amazon ECS, um perfil de serviço do CodeBuild ou outro perfil de serviço da AWS.
A tabela a seguir descreve as permissões do IAM necessárias para diferentes ações do Parameter Store.
| Ação | Privilégio obrigatório do IAM | Informações de referência |
| --- | --- | --- |
| Criar ou atualizar um parâmetro | ssm:PutParameter | [PutParameter](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_PutParameter.html) |
| Recuperar um parâmetro | ssm:GetParameter | [GetParameter](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameter.html) |
| Recuperar vários parâmetros nomeados | ssm:GetParameters | [GetParameters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameters.html) |
| Recuperar parâmetros em um caminho | ssm:GetParametersByPath | [GetParametersByPath](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParametersByPath.html) |
| Visualizar metadados do parâmetro | ssm:DescribeParameters | [DescribeParameters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DescribeParameters.html) |
| Visualizar histórico de versões do parâmetro | ssm:GetParameterHistory | [GetParameterHistory](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameterHistory.html) |
| Excluir um parâmetro | ssm:DeleteParameter | [DeleteParameter](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DeleteParameter.html) |
| Visualizar vários parâmetros | ssm:DeleteParameters | [DeleteParameters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_DeleteParameters.html) |
Ao usar políticas do IAM para conceder acesso a parâmetros do Systems Manager, recomendamos a criação e o uso de políticas *restritivas* do IAM. Por exemplo, a seguinte política permite que uma entidade principal chame as operações de API `DescribeParameters` e `GetParameters` para um conjunto limitado de recursos. A entidade principal pode obter informações sobre todos os parâmetros que começam com `prod-*` e utilizá-los.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ssm:DescribeParameters"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"ssm:GetParameters"
],
"Resource": "arn:aws:ssm:{{us-east-1}}:{{111122223333}}:parameter/prod-*"
}
]
}
```
------
**nota**
A política anterior permite `ssm:GetParameters`, mas não as outras ações de recuperação. O Parameter Store autoriza cada operação de recuperação em relação à sua própria ação do IAM e, portanto, permitir ou negar uma ação não afeta as demais. Antes de confiar em uma política para restringir quais parâmetros uma entidade principal pode ler, consulte [Como o Parameter Store autoriza a recuperação de parâmetros](ps-retrieval-authorization.md) e [Restrição do acesso a parâmetros e caminhos específicos](ps-restrict-parameter-access.md).
**Importante**
O Parameter Store autoriza a operação `GetParametersByPath` em relação ao caminho que você especifica na solicitação, não em relação a cada parâmetro que a operação retorna. Uma entidade principal que tem permissão para chamar `GetParametersByPath` para o caminho `/a` recebe cada parâmetro desse caminho, inclusive `/a/b`. Isso também se aplica quando a própria política nega explicitamente o acesso a `/a/b` para outras ações.
Para evitar que um parâmetro seja retornado por `GetParametersByPath`, negue a ação `ssm:GetParametersByPath` em cada caminho ancestral que possa incluir o parâmetro nos respectivos resultados. Por exemplo, para evitar que `/a/b` seja retornado, negue `ssm:GetParametersByPath` para `/a` e `/`.
Para administradores confiáveis, é possível fornecer acesso a todas as operações de API de parâmetros do Systems Manager usando uma política semelhante ao exemplo a seguir. Esta política fornece ao usuário o acesso total a todos os parâmetros de produção que começam com `dbserver-prod-*`.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ssm:PutParameter",
"ssm:DeleteParameter",
"ssm:GetParameterHistory",
"ssm:GetParametersByPath",
"ssm:GetParameters",
"ssm:GetParameter",
"ssm:DeleteParameters"
],
"Resource": "arn:aws:ssm:{{us-east-1}}:111122223333:parameter/dbserver-prod-*"
},
{
"Effect": "Allow",
"Action": "ssm:DescribeParameters",
"Resource": "*"
}
]
}
```
------
### Negar permissões
Cada API é exclusiva e tem operações e permissões distintas que você pode permitir ou negar individualmente. Uma negação explícita em qualquer política substitui a permissão.
**Importante**
Uma vez que cada operação é autorizada com base em sua própria ação do IAM, negar uma única ação não impede que uma entidade principal recupere o mesmo parâmetro por meio de outra operação. Por exemplo, negar `ssm:GetParameter` isoladamente não tem efeito em `ssm:GetParameters`, `ssm:GetParameterHistory` ou `ssm:GetParametersByPath`. Sempre negue cada ação que possa retornar o valor. Para obter uma descrição completa do comportamento, consulte [Como o Parameter Store autoriza a recuperação de parâmetros](ps-retrieval-authorization.md).
**nota**
O valorAWS Key Management Service(AWS KMS) tem`Decrypt`permissão para todos os principais do IAM dentro doConta da AWS. Se você quiser níveis de acesso diferentes aos parâmetros `SecureString` em sua conta, não recomendamos que você use a chave padrão. A restrição de `kms:Decrypt` em uma chave gerenciada pelo cliente impede a decodificação de um valor `SecureString` por meio de qualquer operação de recuperação. Para obter mais informações, consulte [Restrição da descriptografia dos valores do parâmetro `SecureString`](ps-restrict-decryption.md).
Todos os quatro nomes das ações de recuperação começam com `GetParameter`, então a única entrada `ssm:GetParameter*` abrange `ssm:GetParameter`, `ssm:GetParameters`, `ssm:GetParameterHistory` e `ssm:GetParametersByPath`. O exemplo a seguir usa esse padrão para negar todas as quatro ações para todos os parâmetros que começam com `prod-*`.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"ssm:GetParameter*"
],
"Resource": "arn:aws:ssm:{{us-east-1}}:{{111122223333}}:parameter/prod-*"
}
]
}
```
------
**nota**
No exemplo anterior, a negação em `ssm:GetParametersByPath` aplica-se somente às chamadas que *solicitam* um caminho correspondente a `prod-*`. Isso não impede que um parâmetro `prod-*` seja retornado por uma chamada que solicita um caminho ancestral. Para fechar a lacuna, negue `ssm:GetParametersByPath` também nos caminhos ancestrais. Para obter mais informações, consulte [Restrição do acesso a parâmetros e caminhos específicos](ps-restrict-parameter-access.md).
O exemplo a seguir mostra como negar alguns comandos enquanto permite que o usuário execute outros comandos em todos os parâmetros que começam com `prod-*`.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"ssm:PutParameter",
"ssm:DeleteParameter",
"ssm:DeleteParameters",
"ssm:DescribeParameters"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"ssm:GetParametersByPath",
"ssm:GetParameters",
"ssm:GetParameter",
"ssm:GetParameterHistory"
],
"Resource": "arn:aws:ssm:{{us-east-1}}:111122223333:parameter/prod-*"
}
]
}
```
------
**nota**
O histórico de parâmetros inclui todas as versões de parâmetros, incluindo a atual. Portanto, se um usuário tiver permissão negada para`GetParameter`,`GetParameters`, e`GetParametersByPath`mas é permitido permissão para`GetParameterHistory`, eles podem ver o parâmetro atual, incluindo`SecureString`Parâmetros, usando`GetParameterHistory`.
O mesmo comportamento se aplica à exclusão. `ssm:DeleteParameters` é autorizado independentemente de `ssm:DeleteParameter` e, portanto, negar apenas `ssm:DeleteParameter` não impede que a entidade principal exclua o parâmetro com a operação `DeleteParameters`. Negue as duas ações ou use o padrão `ssm:DeleteParameter*`.
### Criptografia e descriptografia de parâmetros usando chaves do AWS KMS
Parâmetros `SecureString` do Parameter Store usam chaves do AWS KMS para criptografia. O AWS KMS criptografa o valor usando uma Chave gerenciada pela AWS ou uma chave gerenciada pelo cliente. Para obter mais informações sobre o AWS KMS e o AWS KMS key, consulte o *[Guia do desenvolvedor do AWS Key Management Service](https://docs.aws.amazon.com/kms/latest/developerguide/)*.
Todos os usuários da conta do cliente têm acesso à chave padrão gerenciada da AWS. É possível localizar o nome do recurso da Amazon (ARN) da chave padrão no console do AWS KMS na página [AWS managed keys (chaves gerenciadas)](https://console.aws.amazon.com/kms/home#/kms/defaultKeys). A chave padrão é identificada com `aws/ssm` na coluna **Alias**. Talvez seja interessante usar a chave padrão para criptografar os parâmetros `SecureString` e, ao mesmo tempo, impedir que os usuários trabalhem com esses parâmetros `SecureString`. Nesse caso, as políticas de IAM devem negar explicitamente o acesso à chave padrão, conforme demonstrado no exemplo de política a seguir.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"kms:Decrypt",
"kms:GenerateDataKey"
],
"Resource": [
"arn:aws:kms:{{us-east-1}}:{{111122223333}}:key/abcd1234-ab12-cd34-ef56-abcdeEXAMPLE"
]
}
]
}
```
------
Ao usar uma chave gerenciada pelo cliente, a política do IAM que concede a uma entidade principal acesso a um parâmetro ou caminho de parâmetro deve fornecer permissões `kms:Encrypt` explícitas para a chave. Por exemplo, a política a seguir permite que uma entidade principal crie, atualize e visualize parâmetros `SecureString` que começam com `prod-` na Região da AWS e Conta da AWS especificadas.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ssm:PutParameter",
"ssm:GetParameter",
"ssm:GetParameters"
],
"Resource": [
"arn:aws:ssm:{{us-east-1}}:{{111122223333}}:parameter/prod-*"
]
},
{
"Effect": "Allow",
"Action": [
"kms:Decrypt",
"kms:Encrypt",
"kms:GenerateDataKey"
],
"Resource": [
"arn:aws:kms:{{us-east-1}}:{{111122223333}}:key/1234abcd-12ab-34cd-56ef-12345EXAMPLE"
]
}
]
}
```
------
**nota**
A permissão `kms:GenerateDataKey` é necessária para criar parâmetros avançados criptografados usando a chave específica gerenciada pelo cliente.
Se você precisar de controle de acesso refinado sobre os parâmetros `SecureString` em sua conta, use uma chave gerenciada pelo cliente para proteger e restringir o acesso a esses parâmetros. Também recomendamos o uso do AWS CloudTrail para monitorar atividades de parâmetros `SecureString`.
Para saber mais, consulte os seguintes tópicos:
+ [Lógica da avaliação de políticas](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) no *Guia do usuário do IAM*
+ [Usar políticas de chaves no AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html) no *Guia do desenvolvedor do AWS Key Management Service*
+ [Visualizar eventos com o histórico de eventos do CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html) no *Guia do usuário do AWS CloudTrail*
### Permitir que nós gerenciados acessem parâmetros específicos
Para controlar quais parâmetros do Parameter Store um nó gerenciado pode recuperar, é possível associar uma política do IAM ao perfil da instância. Se você escolher o tipo de parâmetro `SecureString` ao criar seu parâmetro, o Systems Manager usará o AWS KMS para criptografar o valor do parâmetro. Você pode visualizar a Chave gerenciada pela AWS executando o comando a seguir na AWS CLI.
```
aws kms describe-key --key-id alias/aws/ssm
```
O exemplo a seguir permite que os nós obtenham um valor de parâmetro somente para parâmetros que começam com `prod-`. Se o parâmetro for um parâmetro `SecureString`, o nó descriptografará a string usando o AWS KMS.
**nota**
As políticas de instâncias, como no exemplo a seguir, são atribuídas à função de instância no IAM. Para obter mais informações sobre como configurar o acesso a recursos do Systems Manager, incluindo como atribuir políticas a usuários e instâncias, consulte [Gerenciar instâncias do EC2 com o Systems Manager](systems-manager-setting-up-ec2.md).
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ssm:GetParameters"
],
"Resource": [
"arn:aws:ssm:{{us-east-1}}:111122223333:parameter/prod-*"
]
},
{
"Effect": "Allow",
"Action": [
"kms:Decrypt"
],
"Resource": [
"arn:aws:kms:{{us-east-1}}:111122223333:key/4914ec06-e888-4ea5-a371-5b88eEXAMPLE"
]
}
]
}
```
------