Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

# Déterminez qui est autorisé à accéder à vos AWS Secrets Manager secrets
<a name="determine-acccess_examine-iam-policies"></a>

Par défaut, les identités IAM ne disposent pas de l'autorisation d'accéder à des secrets. Lorsqu'il autorise l'accès à un secret, Secrets Manager évalue la stratégie basée sur une ressource attachée au secret, ainsi que toutes celles basées sur l'identité au rôle ou à l'utilisateur IAM envoyant la demande. Pour ce faire, Secrets Manager utilise un processus similaire à celui décrit dans la rubrique [Identification d'une demande autorisée ou refusée](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html#policy-eval-denyallow) dans le *Guide de l'utilisateur IAM*.

Lorsque plusieurs stratégies s'appliquent à une demande, Secrets Manager utilise une hiérarchie pour contrôler les autorisations :

1. Si une instruction dans une politique avec un `deny` explicite correspond à l'action de la demande et à la ressource :

   Le `deny` explicite remplace tout le reste et bloque l'action.

1. S'il n'y a pas de `deny` explicite, mais une instruction avec un `allow` explicite qui correspond à l'action de la demande et à la ressource :

   Le `allow` explicite accorde à l'action de la demande l'accès aux ressources de l'instruction.

   Si l'identité et le secret se trouvent dans deux comptes différents, il doit y avoir une `allow` politique de ressources pour le secret et une politique attachée à l'identité, sinon la AWS demande sera refusée. Pour de plus amples informations, veuillez consulter [Accès à Cross-account](auth-and-access_examples_cross.md).

1. S'il n'y a pas d'instruction avec un `allow` explicite qui correspond à l'action de la demande et à la ressource :

   AWS refuse la demande par défaut, ce que l'on appelle un refus *implicite*.

**Pour afficher la stratégie basée sur une ressource pour un secret**
+ Effectuez l’une des actions suivantes :
  + Ouvrez la console Secrets Manager à l'adresse [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). Dans la page des détails de votre secret, dans la section **Resource permissions (Autorisations d'accès aux ressources)**, sélectionnez **Edit permissions (Modifier des autorisations)**.
  + Utilisez le AWS CLI pour appeler [https://docs.aws.amazon.com//cli/latest/reference/secretsmanager/get-resource-policy.html](https://docs.aws.amazon.com//cli/latest/reference/secretsmanager/get-resource-policy.html)ou le AWS SDK pour appeler [https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_GetResourcePolicy.html](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_GetResourcePolicy.html).

**Pour déterminer qui a accès par le biais des stratégies basées sur l'identité**
+ Utilisez le simulateur de stratégie IAM. Consultez [Test des stratégies IAM avec le simulateur de stratégies IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_testing-policies.html)