# IAM Access Analyzer API を使用したアクセスのプレビュー
<a name="access-analyzer-preview-access-apis"></a>

[IAM Access Analyzer API ](https://docs.aws.amazon.com/access-analyzer/latest/APIReference/Welcome.html)を使用して、Amazon S3 バケット、AWS KMS キー、IAM ロール、Amazon SQS キュー、および Secrets Manager シークレットの公開アクセスとクロスアカウントアクセスをプレビューできます。所有している既存のリソースまたはデプロイする新しいリソースに対して提案されたアクセス許可を提供することで、アクセスをプレビューできます。

リソースへの外部アクセスをプレビューするには、リソースのアカウントとリージョンに対してアクティブなアカウントアナライザが必要です。IAM Access Analyzer の使用およびアクセスのプレビューに必要な許可を持っている必要があります。IAM Access Analyzer の有効化および必要な許可の詳細については、「[AWS Identity and Access Management Access Analyzer の開始方法](access-analyzer-getting-started.md)」を参照してください。

リソースのアクセスをプレビューするには、`CreateAccessPreview`オペレーションを実行し、アナライザー ARN とリソースのアクセス制御設定を提供します。このサービスは、アクセスプレビューの一意の ID を返します。これを使用して、`GetAccessPreview` オペレーションでアクセスプレビューのステータスをチェックできます。ステータスが `Completed` の場合、`ListAccessPreviewFindings` オペレーションを使用して、アクセスプレビュー用に生成された検出結果を取得できます。`GetAccessPreview` および `ListAccessPreviewFindings`オペレーションは、約 24 時間以内に作成されたアクセスプレビューと検出結果を取得します。

取得された各検出結果には、アクセスを説明する[検出結果の詳細](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-findings-view.html)が含まれています。検出結果が `Active`、`Archived`、であるかまたは `Resolved` と、権限のデプロイ後であるか、および `changeType` であるかを説明する検出結果のプレビューステータス。`changeType` では、アクセスプレビューが IAM Access Analyzer で識別された既存のアクセスと比較されるコンテキストを提供します。
+ **新規** — 検出結果は、新しく導入されたアクセスのためのものです。
+ **変更なし** — プレビュー検出結果は変更されない既存の検出結果です。
+ **変更あり** — プレビュー結果は、ステータスが変更された既存の検出結果です。

`status` と `changeType` は、リソース構成によって既存のリソースへのアクセスがどのように変化するかを理解するのに役立ちます。`changeType` が `Unchanged` または変更された場合、検索結果には、IAM Access Analyzer の検出結果の既存の ID とステータスも含まれます。たとえば、プレビューステータス `Changed` と既存のステータス `Resolved` のある `Active` 検出結果は、提案されたアクセス許可の変更の結果として、リソースの既存の `Active` 結果が `Resolved` になることを示します。

`ListAccessPreviews`オペレーションを使用して、指定したアナライザーのアクセスプレビューのリストを取得します。このオペレーションは、約 1 時間以内に作成されたアクセスプレビューに関する情報を取得します。

一般に、アクセスプレビューが既存のリソースに対するものであり、設定オプションを指定しない場合、アクセスプレビューはデフォルトで既存のリソース設定を使用します。アクセスプレビューが新しいリソース用で、設定オプションを指定しない場合、アクセスプレビューはリソースタイプに応じてデフォルト値を使用します。各リソースタイプの設定ケースについては、次を参照してください。

## Amazon S3 バケットへのアクセスプレビュー機能
<a name="access-analyzer-preview-access-s3-bucket"></a>

新しい Amazon S3 バケットまたは所有している既存の Amazon S3 バケットのアクセスプレビューを作成するには、バケットに添付された Amazon S3 バケットポリシー、バケット ACL、バケット BPA 設定、Amazon S3 アクセスポイント（複数リージョンアクセスポイントを含む）を指定して、バケット設定を提案します。

**注記**  
新しいバケットのアクセスプレビューを作成する前に、Amazon S3 [HeadBucket](https://docs.aws.amazon.com/AmazonS3/latest/API/API_HeadBucket.html) オペレーションを使用して、指定されたバケットがすでに存在するかどうかを確認することをお勧めします。このオペレーションは、バケットが存在し、そのバケットにアクセスする許可があるかどうかを判断するのに役立ちます。

**バケットポリシー** — 設定が既存の Amazon S3 バケット用で、Amazon S3 バケットポリシーを指定しない場合、アクセスプレビューではバケットに添付された既存のポリシーが使用されます。アクセスプレビューが新しいリソースに対するもので、Amazon S3 バケットポリシーを指定しない場合、アクセスプレビューではポリシーのないバケットが想定されます。既存のバケットポリシーの削除を提案するには、空の文字列を指定します。サポートされるバケットポリシーの制限の詳細については、[バケットポリシーの例](https://docs.aws.amazon.com/AmazonS3/latest/dev/example-bucket-policies.html)を参照してください。。

**バケットの ACL 付与機能** — バケットごとに最大 100 個の ACL 許可を提案できます。提案された許可設定が既存のバケット用である場合、アクセスプレビューでは、既存の許可の代わりに提案された許可設定のリストが使用されます。それ以外の場合、アクセスプレビューはバケットの既存の許可を使用します。

**バケットアクセスポイント** — この分析では、バケットごとに最大 100 個のアクセスポイント（マルチリージョンアクセスポイントを含む）がサポートされます。これには、バケットごとに提案できる新しいアクセスポイントが 10 個まで含まれます。提案された Amazon S3 アクセスポイント設定が既存のバケット用である場合、アクセスプレビューでは、既存のアクセスポイントの代わりに提案されたアクセスポイント設定が使用されます。ポリシーのないアクセスポイントを提案するには、アクセスポイントポリシーとして空の文字列を指定します。アクセスポイントポリシーの制限事項の詳細については、[アクセスポイントの制約と制限](https://docs.aws.amazon.com/AmazonS3/latest/dev/access-points-restrictions-limitations.html)を参照してください。。

**公開アクセスブロック設定** — 提案された設定が既存の Amazon S3 バケット用であり、設定を指定しない場合、アクセスプレビューでは既存の設定が使用されます。提案された設定が新しいバケット用で、バケット BPA 設定を指定しない場合、アクセスプレビューは `false` を使用します。提案された設定が新しいアクセスポイントまたはマルチリージョンアクセスポイント用で、アクセスポイントの BPA 設定を指定しない場合、アクセスプレビューは `true` を使用します。

## AWS KMS キーへのアクセスプレビュー
<a name="access-analyzer-preview-access-kms-key"></a>

新しい AWS KMS キーまたは所有している既存の AWS KMS キーのアクセスプレビューを作成するには、キーポリシーと AWS KMS 許可設定を指定して、AWS KMS キー設定を提案できます。

**AWS KMSキーポリシー** — 既存のキーの設定で、キーポリシーを指定しない場合、アクセスプレビューではキーに既存のポリシーが使用されます。アクセスプレビューが新しいリソースに対するもので、キーポリシーを指定しない場合、アクセスプレビューはデフォルトのキーポリシーを使用します。提案されたキーポリシーを空の文字列にすることはできません。

**AWS KMS 許可 **— 分析では、構成ごとに最大 100 の KMS 許可がサポートされます\*。\* 提案された許可設定が既存のキーに対するものである場合、アクセスプレビューでは、既存の許可の代わりに提案された許可設定のリストが使用されます。それ以外の場合、アクセスプレビューはキーの既存の許可を使用します。

## IAM ロールへのアクセスのプレビュー
<a name="access-analyzer-preview-iam-role"></a>

新しい IAM ロールまたは所有している既存の IAM ロールのアクセスプレビューを作成するには、信頼ポリシーを指定して IAM ロール設定を提案できます。

**ロールの信頼ポリシー** — 設定が新しい IAM ロールの場合は、信頼ポリシーを指定する必要があります。所有している既存の IAM ロールの設定で、信頼ポリシーを提案しない場合、アクセスプレビューではロールに既存の信頼ポリシーが使用されます。提示された信頼ポリシーを空の文字列にすることはできません。

## Amazon SQS キューへのアクセスのプレビュー
<a name="access-analyzer-preview-sqs-queue"></a>

新しい Amazon SQS キューまたはユーザーが所有する既存の Amazon SQS キューのアクセスプレビューを作成するには、キューの Amazon SQS ポリシーを指定して Amazon SQS キューの設定を提案します。

**Amazon SQS キューポリシー** — 設定が既存の Amazon SQS キュー用で、Amazon SQS ポリシーを指定しない場合、アクセスプレビューでは既存の Amazon SQS ポリシーがキューに使用されます。アクセスプレビューが新しいリソースに対するもので、ポリシーを指定しない場合、アクセスプレビューはポリシーなしの Amazon SQS キューを想定します。既存の Amazon SQS キューポリシーの削除を提案するには、Amazon SQS ポリシーに空の文字列を指定します。

## Secrets Manager のシークレットへのアクセスプレビュー
<a name="access-analyzer-preview-secrets-manager-secret"></a>

新しいSecrets Manager のシークレットまたは所有する既存のSecrets Manager のシークレットのアクセスプレビューを作成するには、シークレットポリシーとオプションの AWS KMS 暗号化キーを指定して、Secrets Manager のシークレット構成を提案できます。。

**シークレットポリシー** — 設定が既存のシークレット用であり、シークレットポリシーを指定しない場合、アクセスプレビューはシークレットに既存のポリシーを使用します。アクセスプレビューが新しいリソースに対するもので、ポリシーを指定しない場合、アクセスプレビューはポリシーのないシークレットを想定します。既存のポリシーの削除を提案するには、空の文字列を指定します。

**AWS KMS暗号化キー** — 提案された構成が新しいシークレット用であり、AWS KMS キー ID を指定しない場合、アクセスプレビューは AWS アカウントのデフォルトの KMS キーを使用します。AWS KMS キー ID に空の文字列を指定すると、アクセスプレビューは AWS アカウントのデフォルトの KMS キーを使用します。