Um aplicativo no EC2 usava anteriormente chaves de acesso de usuário do IAM armazenadas em variáveis de ambiente para chamar o DynamoDB via boto. O desenvolvedor anexou um perfil de instância com as mesmas permissões e, em seguida, excluiu o usuário do IAM. Após reiniciar, os logs do aplicativo mostram AccessDeniedException, mas o desenvolvedor pode executar comandos da CLI do DynamoDB usando sua conta pessoal no servidor. Qual é a causa MAIS provável da exceção?

A causa mais provável é que o aplicativo ainda está tentando usar as credenciais do IAM armazenadas nas variáveis de ambiente. Mesmo após a exclusão do usuário IAM e a anexação de um perfil de instância, o aplicativo pode ter carregado as variáveis de ambiente em seu processo e as está usando em vez das credenciais do perfil de instância. A CLI funciona porque o desenvolvedor está usando suas credenciais pessoais, que provavelmente estão configuradas no arquivo ~/.aws/credentials ou via variáveis de ambiente diferentes. As políticas do IAM se propagam rapidamente, então não é a causa. O AWS SDK suporta credenciais de perfil de instância; essa é a forma recomendada. O security group não é o problema, pois a CLI consegue acessar o DynamoDB, indicando que a conectividade de rede está funcionando.