Параметры кладут в путях /app/env/key; IAM ограничивает ssm:GetParametersByPath на префикс; SecureString через KMS; версии и labels помогают промоутить конфиг.
Разбор
- Не давайте
* на все параметры аккаунта приложению.
- Advanced parameters — больше размера/пропускной способности.
- Кэшируйте на клиенте, но инвалидируйте.
- Аудит GetParameters в CloudTrail.
Итог
Иерархии SSM + IAM на path = удобный и контролируемый конфиг.
