AWS Systems Manager Parameter Store

AWS Systems Manager Parameter Store (souvent abrégé SSM Parameter Store) est un service AWS pour stocker de manière hiérarchique des paramètres de configuration (strings, stringlists) et des secrets (SecureString chiffrés via KMS), accessibles via API/CLI/SDK. Très populaire en alternative économique à Secrets Manager pour les cas d'usage simples.

Types de paramètres : (1) String — texte simple en clair ; (2) StringList — liste séparée par virgules ; (3) SecureString — chiffré via AWS KMS (clé par défaut aws/ssm ou CMK custom). Hiérarchie via paths ("/myapp/prod/db/password", "/myapp/staging/api/key") permettant grouping logique et IAM permissions granulaires (allow GetParametersByPath sur /myapp/prod/*).

Two tiers : (1) Standard (default, gratuit) — limite 10 000 paramètres par account/region, taille 4 KB par paramètre, throughput 40 TPS ; (2) Advanced (0.05\$/param/mois) — 100 000 paramètres, taille 8 KB, parameter policies (expiration, no-change, no-change-notification), throughput 1000 TPS, parameter labels et versioning explicite. Migration Standard → Advanced one-way.

Features : (1) Versioning automatique — chaque update crée une nouvelle version, accessible via param-name:VERSION (rollback facile) ; (2) Encryption at rest pour SecureString via KMS ; (3) CloudTrail audit logs ; (4) EventBridge events sur changes ; (5) Integration native avec ECS task definitions, Lambda env variables, CloudFormation, CDK, CodeBuild, EC2 user-data ; (6) Parameter policies (Advanced only) : Expiration (auto-delete after date), ExpirationNotification (EventBridge alert), NoChangeNotification (alert si pas de modif depuis X jours — détection orphan params).

Parameter Store vs Secrets Manager : (1) Parameter Store gratuit Standard, idéal config + simple secrets ; Secrets Manager 0.40\$/secret/mois + 0.05\$/10k API calls — premium ; (2) Secrets Manager avantages exclusifs : rotation automatique (RDS, Redshift, DocumentDB, custom Lambda rotation), réplication multi-region native, gestion structurée (JSON), résolution dynamique par services AWS (ECS, EKS) sans code ; (3) règle générale : config app + secrets simples → Parameter Store ; database credentials avec rotation → Secrets Manager.

Use cases : feature flags, app config (env-specific), database connection strings, API keys d'apps SaaS, certificate paths, ECS task definitions secrets, Lambda env vars en SecureString. Best practices : hierarchy clean, tags, KMS CMK pour SecureString sensibles, IAM least privilege par path, rotation manuelle régulière, CloudTrail monitoring.