AWS Secrets Manager シークレットへのアクセス許可を持つユーザーを特定する - AWS Secrets Manager

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Secrets Manager シークレットへのアクセス許可を持つユーザーを特定する

デフォルトでは、IAM アイデンティティにはシークレットへのアクセス許可がありません。シークレットへのアクセスを承認する時、Secrets Manager はシークレットにアタッチされたリソースベースのポリシー、およびリクエストを送信している IAM ユーザーまたは IAM ロールにアタッチされたすべてのアイデンティティベースのポリシーを評価します。これを行うために、Secrets Manager は、IAM ユーザーガイドの [Determining whether a request is allowed or denied] (リクエストの許可または拒否を決定する) に記載されているものと類似したプロセスを使用します。

複数のポリシーが 1 つのリクエストに適用される場合、Secrets Manager は階層を使用してアクセス許可を制御します。

  1. ポリシー内のステートメントに明示的な deny が含まれている場合、リクエストアクションとリソースに一致します。

    この明示的な deny によって、他のすべての内容が上書きされ、アクションがブロックされます。

  2. 明示的な deny はないが、ステートメントに明示的な allow が含まれている場合、リクエストアクションとリソースに一致します。

    この明示的な allow によって、リクエスト内のアクションにステートメント内のリソースへのアクセスが付与されます。

    アイデンティティとシークレットが 2 つの異なるアカウントにある場合は、シークレットのリソースポリシーとアイデンティティにアタッチされたポリシーの両方で allow が含まれている必要があります。含まれていない場合、AWS はリクエストを拒否します。詳細については、「クロスアカウントアクセス」を参照してください。

  3. リクエストアクションとリソースに一致する明示的な allow が含まれているステートメントがない場合

    AWS はデフォルトでリクエストを拒否します。これは暗黙的拒否と呼ばれます。

シークレットのリソースベースのポリシーを表示するには
アイデンティティベースのポリシーを使用してアクセスできるユーザーを特定するには