SSM Parameter Store KMSのタイミング

パラメータストアでSecure Stringなタイプのパラメータの暗号化された値を表示したり編集したりする際に、kms:Encrypt/kms:Decryptを使う。なお、kms:ReEncryptがあるけど使われないっぽい。

docs.aws.amazon.com