Ein Sicherheitsingenieur hat eine Amazon S3 Bucket Policy mit einer expliziten Verweigerung (explicit deny) erstellt, die den Zugriff für alle Benutzer blockiert. Einige Tage später fügte der Ingenieur eine neue Anweisung hinzu, um einem bestimmten Mitarbeiter schreibgeschützten Zugriff zu erlauben. Der Mitarbeiter erhält immer noch die Meldung "Access Denied". Was ist der wahrscheinlichste Grund dafür?

Die explizite Verweigerung (explicit deny) in einer AWS-Richtlinie hat immer Vorrang vor einer Erlaubnisanweisung (allow statement). Selbst wenn eine spätere Anweisung versucht, Lesezugriff zu gewähren, wird die frühere explizite Verweigerung diese Erlaubnis außer Kraft setzen. Um dem Mitarbeiter Zugriff zu gewähren, müsste die explizite Verweigerung so geändert werden, dass sie den spezifischen Mitarbeiter ausschließt oder die Verweigerungsbedingung nicht mehr erfüllt ist. Die Bucket ACL ist für die meisten modernen S3-Anwendungsfälle nicht relevant und würde das Problem nicht beheben. IAM-Richtlinien des Benutzers könnten den Zugriff einschränken, aber die Bucket Policy würde zuerst ausgewertet. Änderungen an Bucket Policies werden in der Regel sofort wirksam.