As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

# Determine quem tem permissões para seus AWS Secrets Manager segredos
<a name="determine-acccess_examine-iam-policies"></a>

Por padrão, as identidades do IAM não têm permissão para acessar segredos. Ao autorizar o acesso a um segredo, o Secrets Manager avalia a política baseada em recursos anexada ao segredo e todas as políticas baseadas em identidades anexadas ao usuário ou à função do IAM que está enviando a solicitação. Para fazer isso, o Secrets Manager usa um processo semelhante ao descrito em [Determinar se uma solicitação é permitida ou negada](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html#policy-eval-denyallow) no *Manual do usuário do IAM*.

Quando várias políticas se aplicarem a uma solicitação, o Secrets Manager usará uma hierarquia para controlar as permissões:

1. Se uma declaração em qualquer política com uma `deny` explícita corresponder à ação de solicitação e ao recurso:

   A `deny` explícita substituirá todo o resto e bloqueará a ação.

1. Se não houver qualquer `deny` explícita, mas uma declaração com uma `allow` explícita corresponder à ação de solicitação e ao recurso:

   A `allow` explícita concederá à ação de solicitação acesso aos recursos da declaração.

   Se a identidade e o segredo estiverem em duas contas diferentes, deverá haver uma `allow` na política de recursos para o segredo e na política anexada à identidade, caso contrário, AWS negará a solicitação. Para obter mais informações, consulte [Acesso do Cross-account](auth-and-access_examples_cross.md).

1. Se não houver qualquer declaração com uma `allow` explícita que corresponda à ação de solicitação e ao recurso:

   AWS nega a solicitação por padrão, o que é chamado de *negação implícita*.

**Para visualizar a política baseada em recursos de um segredo**
+ Execute um destes procedimentos:
  + Abra o console do Secrets Manager em [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). Na página de detalhes do segredo, na seção **Resource permissions** (Permissões de recursos), escolha **Edit permissions** (Editar permissões).
  + Use o AWS CLI para ligar [https://docs.aws.amazon.com//cli/latest/reference/secretsmanager/get-resource-policy.html](https://docs.aws.amazon.com//cli/latest/reference/secretsmanager/get-resource-policy.html)ou o AWS SDK para ligar [https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_GetResourcePolicy.html](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_GetResourcePolicy.html).

**Para determinar quem tem acesso por meio de políticas baseadas em identidades**
+ Use o simulador de políticas do IAM. Consulte [Testar políticas do IAM com o simulador de políticas do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_testing-policies.html)