限制SecureString參數值的解密

SecureString 參數值會使用 AWS KMS 金鑰加密。擷取解密值的任何主體都必須擁有該金鑰的kms:Decrypt許可，無論其呼叫Parameter Store的操作為何。這可讓 AWS KMS 金鑰許可有效地控制SecureString參數，因為單一 AWS KMS 政策陳述式一次適用於所有擷取路徑。

若要有效使用此控制項，請使用客戶受管金鑰而非 加密敏感參數 AWS 受管金鑰。

重要

適用於 Parameter Store(aws/ssm) AWS 受管金鑰 的 授予 中所有 IAM 主體的Decrypt許可 AWS 帳戶。如果您需要對 帳戶中SecureString參數的不同層級存取權，請不要使用預設金鑰加密它們。

如需金鑰政策範例，包括如何拒絕對 的存取 AWS 受管金鑰 ，以及如何授予對客戶受管金鑰的存取，請參閱 使用 AWS KMS 金鑰加密和解密參數。

注意

限制kms:Decrypt可防止主體讀取加密的值。它不會隱藏未加密的參數名稱、描述或其他中繼資料，也不會阻止列出參數。使用 中所述Parameter Store的動作拒絕限制對特定參數和路徑的存取來控制這些動作。