翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# AWS Secrets Manager シークレットへのアクセス許可を持つユーザーを特定する
<a name="determine-acccess_examine-iam-policies"></a>

デフォルトでは、IAM アイデンティティにはシークレットへのアクセス許可がありません。シークレットへのアクセスを承認する時、Secrets Manager はシークレットにアタッチされたリソースベースのポリシー、およびリクエストを送信している IAM ユーザーまたは IAM ロールにアタッチされたすべてのアイデンティティベースのポリシーを評価します。これを行うために、Secrets Manager は、*IAM ユーザーガイド*の [[Determining whether a request is allowed or denied](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html#policy-eval-denyallow)] (リクエストの許可または拒否を決定する) に記載されているものと類似したプロセスを使用します。

複数のポリシーが 1 つのリクエストに適用される場合、Secrets Manager は階層を使用してアクセス許可を制御します。

1. ポリシー内のステートメントに明示的な `deny` が含まれている場合、リクエストアクションとリソースに一致します。

   この明示的な `deny` によって、他のすべての内容が上書きされ、アクションがブロックされます。

1. 明示的な `deny` はないが、ステートメントに明示的な `allow` が含まれている場合、リクエストアクションとリソースに一致します。

   この明示的な `allow` によって、リクエスト内のアクションにステートメント内のリソースへのアクセスが付与されます。

   ID とシークレットが 2 つの異なるアカウントにある場合、シークレットのリソースポリシーと ID にアタッチされたポリシーの両方`allow`に AWS が必要です。それ以外の場合、リクエストは拒否されます。詳細については、「[クロスアカウントアクセス](auth-and-access_examples_cross.md)」を参照してください。

1. リクエストアクションとリソースに一致する明示的な `allow` が含まれているステートメントがない場合

   AWS はデフォルトでリクエストを拒否します。これは*暗黙的な*拒否と呼ばれます。

**シークレットのリソースベースのポリシーを表示するには**
+ 次のいずれかを行います。
  + Secrets Manager のコンソール ([https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/)) を開きます。シークレットの詳細ページの [**Resource permissions**] (リソースに対するアクセス許可) セクションで、[**Edit permissions**] (アクセス許可の編集) をクリックします。
  + を使用して AWS CLI を呼び出す[https://docs.aws.amazon.com//cli/latest/reference/secretsmanager/get-resource-policy.html](https://docs.aws.amazon.com//cli/latest/reference/secretsmanager/get-resource-policy.html)か、 AWS SDK を使用して を呼び出します[https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_GetResourcePolicy.html](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_GetResourcePolicy.html)。

**アイデンティティベースのポリシーを使用してアクセスできるユーザーを特定するには**
+ IAM ポリシーシミュレーターを使用します。[IAM Policy Simulator を使用した IAM ポリシーのテスト](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_testing-policies.html)を参照してください。