• 2026 年 4 月 30 日之後將不再提供 AWS Systems Manager CloudWatch Dashboard。客戶可以繼續使用 Amazon CloudWatch 主控台來檢視、建立和管理其 Amazon CloudWatch 儀表板，就像現在一樣。如需詳細資訊，請參閱 [Amazon CloudWatch Dashboard 文件](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html)。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 限制`SecureString`參數值的解密
<a name="ps-restrict-decryption"></a>

`SecureString` 參數值會使用 AWS KMS 金鑰加密。擷取解密值的任何主體都必須擁有該金鑰的`kms:Decrypt`許可，無論其呼叫Parameter Store的操作為何。這可讓 AWS KMS 金鑰許可有效地控制`SecureString`參數，因為單一 AWS KMS 政策陳述式一次適用於所有擷取路徑。

若要有效使用此控制項，請使用客戶受管金鑰而非 加密敏感參數 AWS 受管金鑰。

**重要**  
適用於 Parameter Store(`aws/ssm`) AWS 受管金鑰 的 授予 中所有 IAM 主體的`Decrypt`許可 AWS 帳戶。如果您需要對 帳戶中`SecureString`參數的不同層級存取權，請不要使用預設金鑰加密它們。

如需金鑰政策範例，包括如何拒絕對 的存取 AWS 受管金鑰 ，以及如何授予對客戶受管金鑰的存取，請參閱 [使用 AWS KMS 金鑰加密和解密參數](parameter-store-setting-up.md#ps-kms-permissions)。

**注意**  
限制`kms:Decrypt`可防止主體讀取加密*的值*。它不會隱藏未加密的參數名稱、描述或其他中繼資料，也不會阻止列出參數。使用 中所述Parameter Store的動作拒絕[限制對特定參數和路徑的存取](ps-restrict-parameter-access.md)來控制這些動作。