Ein IAM-Benutzer erhält „Access Denied“-Fehler, wenn er versucht, auf Objekte in einem Amazon S3-Bucket zuzugreifen. Der Benutzer und der Bucket befinden sich im selben AWS-Konto. Der Bucket verwendet serverseitige Verschlüsselung mit AWS KMS-Schlüsseln (SSE-KMS) und einem kundenverwalteten Schlüssel aus demselben Konto. Es gibt keine Bucket-Richtlinie. Die IAM-Richtlinie des Benutzers erlaubt kms:Decrypt für den Schlüssel und s3:List* und s3:Get* für den Bucket und die Objekte. Was ist ein möglicher Grund, warum der Benutzer nicht auf die Objekte zugreifen kann?

Die KMS-Schlüsselrichtlinie ist die primäre Zugriffskontrolle für einen KMS-Schlüssel. Wenn der vollständige Zugriff für das AWS-Konto in der KMS-Schlüsselrichtlinie entfernt wird, können IAM-Benutzer, selbst mit einer expliziten IAM-Richtlinie, den Schlüssel nicht verwenden. Die IAM-Richtlinie muss auch kms:DescribeKey zulassen, ist zwar eine Best Practice, aber nicht die Ursache für den Access Denied-Fehler, da kms:Decrypt der entscheidende Zugriff ist. Die Annahme, dass der Bucket den von AWS verwalteten KMS-Schlüssel verwendet, ist falsch, da die Frage angibt, dass ein kundenverwalteter Schlüssel verwendet wird. Eine Bucket-Richtlinie ist nicht erforderlich, da der Benutzer und der Bucket im selben Konto sind und die IAM-Richtlinie des Benutzers bereits die erforderlichen S3-Berechtigungen erteilt.