Ein Entwickler debuggt eine Anwendung, die Amazon DynamoDB (us-west-2) verwendet. Die Anwendung läuft auf einer Amazon EC2-Instance und benötigt Lesezugriff auf eine Tabelle namens Cars. Die EC2-Instance hat eine IAM-Rolle mit einer angehängten Richtlinie, aber wenn die Anwendung versucht, die Tabelle Cars zu lesen, erhält sie die Meldung „Access Denied“. Wie sollte der Entwickler dieses Problem beheben?

Die Fehlermeldung „Access Denied“ deutet darauf hin, dass die EC2-Instanz keine Berechtigung hat, die DynamoDB-Tabelle zu lesen. Eine IAM-Rolle benötigt eine Vertrauensrichtlinie, die definiert, welche Entitäten (z. B. EC2-Instanzen) diese Rolle annehmen dürfen. Wenn die Vertrauensrichtlinie fehlt oder falsch konfiguriert ist, kann die EC2-Instanz die Rolle nicht annehmen und somit auch nicht die damit verbundenen Berechtigungen nutzen. Das Erstellen einer Vertrauensrichtlinie, die den EC2-Service-Principal auflistet, ermöglicht es der EC2-Instanz, die Rolle anzunehmen und auf DynamoDB zuzugreifen. Die Änderung der Ressource in arn:aws:dynamodb:us-west-2:account-id:table/ würde die Berechtigungen für alle Tabellen erweitern, löst aber nicht das Problem der fehlenden Rollenannahme. Das Aktualisieren der Richtlinie, um dynamodb: aufzunehmen, würde zu viele Berechtigungen erteilen und ist keine Best Practice, behebt aber ebenfalls nicht das grundlegende Vertrauensproblem. Das Erstellen einer Vertrauensbeziehung mit dynamodb.amazonaws.com wäre falsch, da die EC2-Instanz und nicht der DynamoDB-Service die Rolle annehmen muss.