Considerando uma política do IAM que restringe s3:GetObject e s3:PutObject para um bucket chamado DOC-EXAMPLE-BUCKET com uma exceção para objetos cujas chaves começam com 'secrets', qual nível de acesso essas ações permitem?

A política restringe s3:GetObject e s3:PutObject para o DOC-EXAMPLE-BUCKET. Uma exceção para objetos com chaves que começam com 'secrets' significa que a restrição NÃO se aplica a esses objetos. Portanto, a política permite acesso a todos os objetos no DOC-EXAMPLE-BUCKET, EXCETO aqueles que começam com 'secrets'. A opção "Acesso em todos os buckets, exceto no bucket DOC-EXAMPLE-BUCKET" está incorreta porque a política é específica para o DOC-EXAMPLE-BUCKET. A opção "Acesso em todos os buckets que começam com 'DOC-EXAMPLE-BUCKET', exceto no prefixo DOC-EXAMPLE-BUCKET/secrets" está incorreta porque a política se aplica a um bucket específico, não a todos que começam com esse nome, e a exceção é para o prefixo 'secrets' dentro desse bucket. A opção "Acesso em todos os objetos no bucket DOC-EXAMPLE-BUCKET, mais todas as ações do S3 para objetos em DOC-EXAMPLE-BUCKET que começam com 'secrets'" está incorreta porque a política restringe as ações GetObject e PutObject, e a exceção remove essa restrição para 'secrets', não concedendo "todas as ações do S3".