Comprendre les types de paramètres

Un paramètre est un élément de données stockéParameter Store, tel qu'un bloc de texte, une liste de noms, un AMI identifiant, une clé de licence, etc. Vous pouvez référencer ces données de manière centralisée et sécurisée dans vos scripts, commandes et documents SSM.

Lorsque vous référencez un paramètre, vous spécifiez le nom du paramètre selon la convention suivante.

{{ssm:parameter-name}}

Parameter Store prend en charge trois types de paramètres. String, StringList et SecureString.

À une exception près, lorsque vous créez ou mettez à jour un paramètre, vous saisissez sa valeur sous forme de texte brut et Parameter Store n'effectue aucune validation sur le texte en question. Pour les paramètres String, vous pouvez néanmoins spécifier le type de données comme aws:ec2:image. Alors, Parameter Store valide la valeur que vous saisissez comme étant au format approprié pour une AMI Amazon EC2 ; par exemple : ami-12345abcdeEXAMPLE.

Type de paramètre : String

Par défaut, la valeur d’un paramètre String est constituée d’un bloc de texte que vous saisissez. Par exemple :

Type de paramètre : StringList

Les valeurs des paramètres StringList contiennent une liste de valeurs séparées par des virgules, comme le montrent les exemples suivants.

Monday,Wednesday,Friday

CSV,TSV,CLF,ELF,JSON

Type de paramètre : SecureString

La valeur d’un paramètre SecureString correspond à des données sensibles qui doivent être stockées et référencées de manière sécurisée. Si vous ne souhaitez pas que les utilisateurs modifient ou référencent en texte brut, telles que des secrets légers ou des clés de licence, créez ces paramètres à l'aide du type de SecureString données.

Nous recommandons l'utilisation des paramètres SecureString pour les scénarios suivants :

Vous pouvez utiliser le type de SecureString paramètre pour les données textuelles que vous souhaitez chiffrer, telles que les secrets légers ne nécessitant pas de rotation, les données de configuration confidentielles ou tout autre type de données que vous souhaitez protéger. SecureStringles données sont cryptées et déchiffrées à l'aide d'une clé. AWS KMS Vous pouvez utiliser une clé KMS par défaut fournie par AWS ou créer et utiliser la vôtre AWS KMS key. (Utilisez votre propre AWS KMS key pour restreindre l'accès des utilisateurs aux paramètres SecureString. Pour de plus amples informations, veuillez consulter Autorisations IAM pour l'utilisation des clés AWS par défaut et des clés gérées par le client.)

Vous pouvez également utiliser des SecureString paramètres avec d'autres Services AWS. Dans l'exemple suivant, la fonction Lambda récupère un SecureString paramètre à l'aide de l'API. GetParameters

import json
import boto3
ssm = boto3.client('ssm', 'us-east-2')
def get_parameters():
    response = ssm.get_parameters(
        Names=['LambdaSecureString'],WithDecryption=True
    )
    for parameter in response['Parameters']:
        return parameter['Value']
        
def lambda_handler(event, context):
    value = get_parameters()
    print("value1 = " + value)
    return value  # Echo back the first key value

AWS KMS chiffrement et tarification

Si vous choisissez le type de SecureString paramètre lorsque vous créez votre paramètre, Systems Manager l'utilise AWS KMS pour chiffrer la valeur du paramètre.

La création d'Parameter Storeun SecureString paramètre est gratuite, mais des frais d'utilisation du AWS KMS chiffrement s'appliquent. Pour obtenir des informations, veuillez consulter Tarification AWS Key Management Service.

Pour plus d'informations sur les clés gérées par le client Clés gérées par AWS et les clés gérées par le client, consultez la section AWS Key Management Service Concepts du guide du AWS Key Management Service développeur. Pour plus d'informations sur le AWS KMS chiffrement Parameter Store et le chiffrement, consultez la section Comment AWS Systems ManagerParameter Store les utiliser AWS KMS.

aws kms describe-key --key-id alias/aws/ssm