Um engenheiro de segurança está implementando ABAC para permitir que apenas *principals* específicos coloquem objetos em um bucket do Amazon S3. Os *principals* já têm acesso ao Amazon S3. A política de bucket deve permitir s3:PutObject somente quando a tag Team do objeto corresponder à tag Team do *principal*. Durante o teste, um *principal* ainda consegue colocar objetos quando os valores das tags não correspondem. Qual combinação de fatores explica por que o PutObject é bem-sucedido quando os valores das tags são diferentes? (Escolha duas.)

O Amazon S3 avalia todas as políticas aplicáveis para uma solicitação. Se uma política baseada em identidade conceder explicitamente s3:PutObject sem condições restritivas, essa permissão prevalecerá sobre a política de bucket, a menos que haja um Deny explícito. A política de bucket, embora tente restringir, não contém um Deny explícito para s3:PutObject quando as tags não correspondem. Em AWS IAM, um Allow explícito em qualquer política (identidade ou recurso) concede acesso, a menos que seja explicitamente negado por um Deny explícito em qualquer outra política. A opção "A política baseada em identidade do principal substitui a condição da política de bucket porque a política baseada em identidade contém um Allow explícito" está incorreta porque a política de identidade não "substitui" a condição; ambas são avaliadas. A opção "A política de recurso do bucket S3 não pode conceder ações ao principal" está incorreta, pois políticas de bucket podem conceder permissões. A opção "A política de bucket não se aplica a principals na mesma zona de confiança" está incorreta; políticas de bucket se aplicam a todos os principals que interagem com o bucket.