Amazon Systems Manager Parameter Store

Parameter Store，一项功能 Amazon Systems Manager，为配置数据管理和密钥管理提供安全的分层存储。您可以将密码、数据库字符串、Amazon Machine Image (AMI) ID 和许可证代码等数据存储为参数值。可以将值存储为纯文本或加密数据。您可以使用创建 Systems Manager 参数时指定的唯一名称，在脚本、命令、SSM 文档以及配置和自动化工作流中引用该参数。要开始使用 Parameter Store，请打开 Systems Manager 控制台。在导航窗格中，请选择 Parameter Store。

Parameter Store 还与 Secrets Manager 进行了集成。您可以在使用其他已支持引用 Parameter Store 参数的 Amazon Web Services 时检索 Secrets Manager 密钥。有关更多信息，请参阅通过 Parameter Store 参数引用 Amazon Secrets Manager 密钥。

我的组织如何从 Parameter Store 获益？

Parameter Store 具备下列优势：

谁应该使用 Parameter Store？

Parameter Store 具有哪些功能？

什么是参数？

Parameter Store 参数是保存在 Parameter Store 中的任何数据片段，例如文本数据块、名称列表、密码、AMI ID、许可证密钥等。可以在脚本、命令和 SSM 文档中集中安全地引用此数据。

在引用参数时，使用以下惯例指定参数名称。

{{ssm:parameter-name}}

Parameter Store 支持三种类型的参数：String、StringList 和 SecureString。

有一个例外，当创建或更新参数时，您将以明文形式输入参数值，并且 Parameter Store 不对输入的文本执行验证。但是，对于 String 参数，您可以将数据类型指定为 aws:ec2:image，并且 Parameter Store 会验证您输入的值是否为 Amazon EC2 AMI 的正确格式；例如：ami-12345abcdeEXAMPLE。

参数类型：String

默认情况下，String 参数由您输入的任何文本数据块组成。例如：

参数类型： StringList

StringList 参数包含以逗号分隔的值列表，如下面的示例所示。

Monday,Wednesday,Friday

CSV,TSV,CLF,ELF,JSON

参数类型： SecureString

SecureString 参数是需要以安全的方式存储和引用的任何敏感数据。如果您有不希望用户更改或以明文形式引用的数据（例如密码或许可证密钥），则应使用 SecureString 数据类型创建这些参数。

建议您在以下情形中使用 SecureString 参数：

您可以将SecureString参数类型用于要加密的文本数据，例如密码、应用程序密钥、机密配置数据或要保护的任何其他类型的数据。 SecureString使用密钥对数据进行加密和解密。 Amazon KMS 您可以使用提供的默认 KMS 密钥， Amazon 也可以创建并使用自己的密钥 Amazon KMS key。（如果您想要限制用户对 SecureString 参数的访问，可以使用自己的 Amazon KMS key 。有关更多信息，请参阅 有关使用 Amazon 默认密钥和客户托管密钥的 IAM 权限。）

您也可以将参数与其他SecureString参数一起使用 Amazon Web Services。在以下示例中，Lambda 函数使用 API 检索SecureString参数。GetParameters

from __future__ import print_function
 
import json
import boto3
ssm = boto3.client('ssm', 'us-east-2')
def get_parameters():
    response = ssm.get_parameters(
        Names=['LambdaSecureString'],WithDecryption=True
    )
    for parameter in response['Parameters']:
        return parameter['Value']
        
def lambda_handler(event, context):
    value = get_parameters()
    print("value1 = " + value)
    return value  # Echo back the first key value

Amazon KMS 加密和定价

如果您在创建参数时选择SecureString参数类型，Systems Manager Amazon KMS 将使用对参数值进行加密。

创建SecureString参数不收Parameter Store取任何费用，但会收取使用 Amazon KMS 加密的费用。有关信息，请参阅 Amazon Key Management Service 定价。

有关客户托管密钥 Amazon 托管式密钥 的更多信息，请参阅《Amazon Key Management Service 开发者指南》中的Amazon Key Management Service 概念。有关Parameter Store和 Amazon KMS 加密的更多信息，请参阅Amazon Systems ManagerParameter Store使用方式 Amazon KMS。

aws kms describe-key --key-id alias/aws/ssm