Ein Sicherheitsingenieur implementiert ABAC, um nur bestimmten Prinzipalen das Ablegen von Objekten in einem Amazon S3-Bucket zu erlauben. Prinzipale haben bereits Amazon S3-Zugriff. Die Bucket-Richtlinie sollte s3:PutObject nur zulassen, wenn der Team-Tag des Objekts mit dem Team-Tag des Prinzipals übereinstimmt. Während des Tests kann ein Prinzipal immer noch Objekte ablegen, wenn die Tag-Werte nicht übereinstimmen. Welche Kombination von Faktoren erklärt, warum PutObject erfolgreich ist, wenn die Tag-Werte abweichen? (Wählen Sie zwei.)

Wenn ein Prinzipal Objekte in S3 ablegen kann, obwohl die Tag-Werte nicht übereinstimmen, liegt das Problem in der Berechtigungsprüfung. Erstens: Wenn die identitätsbasierte Richtlinie des Prinzipals s3:PutObject ohne Bedingungen zulässt, hat der Prinzipal diese Berechtigung unabhängig von der Bucket-Richtlinie. Eine explizite Allow-Anweisung in einer identitätsbasierten Richtlinie kann eine Deny-Anweisung in einer ressourcenbasierten Richtlinie (wie einer Bucket-Richtlinie) überschreiben, es sei denn, die ressourcenbasierte Richtlinie enthält ein explizites Deny. Zweitens: Wenn die Bucket-Richtlinie kein explizites Deny für s3:PutObject enthält, wenn die Tags nicht übereinstimmen, wird die Aktion nicht blockiert. AWS IAM verwendet eine "Standard-Deny"-Logik, aber wenn eine Allow-Anweisung vorhanden ist und kein explizites Deny greift, wird die Aktion zugelassen. Die Option, dass die identitätsbasierte Richtlinie die Bucket-Richtlinie überschreibt, weil sie ein explizites Allow enthält, ist nicht präzise genug, da ein explizites Deny in der Bucket-Richtlinie immer Vorrang hätte. Die anderen Optionen sind falsch, da S3-Ressourcenrichtlinien Aktionen gewähren können und die Vertrauenszone für dieses Problem irrelevant ist.