Um engenheiro de segurança criou uma política de bucket do Amazon S3 com uma negação explícita que bloqueia o acesso para todos os usuários. Alguns dias depois, o engenheiro adicionou uma nova declaração para permitir acesso somente leitura para um funcionário específico. O funcionário ainda recebe "Acesso Negado". Qual é a razão mais provável?

A negação explícita em uma política de bucket do S3 sempre tem precedência sobre qualquer permissão de acesso, mesmo que haja uma declaração de permissão explícita. O modelo de avaliação de políticas do IAM prioriza a negação explícita. Portanto, a declaração de negação explícita para todos os usuários impede o acesso, mesmo após a adição de uma declaração de permissão para o funcionário. A ACL do bucket não é o fator principal aqui, pois as políticas de bucket geralmente são mais granulares. A política do IAM do usuário pode ser relevante, mas a política de bucket é avaliada primeiro e, neste caso, está bloqueando o acesso. A propagação de políticas do S3 é geralmente rápida e não causaria um problema persistente de "Acesso Negado" por vários dias.