Einem IAM-Benutzer ist eine Richtlinie zugeordnet (Inhalt der Richtlinie nicht gezeigt). Welche der folgenden spezifischen Aktionen wären für diesen IAM-Benutzer zulässig?

Die korrekte Antwort ist Amazon EC2 DescribeInstances in der Region us-east-1. Dies liegt daran, dass die Frage nach einer zulässigen Aktion fragt, und die Aktion DescribeInstances ist eine reine Leseaktion. Standardmäßig haben IAM-Benutzer keine Berechtigungen, bis sie explizit gewährt werden. Wenn jedoch keine Richtlinie gezeigt wird, kann man davon ausgehen, dass eine Richtlinie existiert, die grundlegende Lesezugriffe erlaubt oder dass die Frage sich auf eine implizite Erlaubnis bezieht, die in bestimmten Kontexten existieren könnte, oder dass sie die sicherste Option unter den gegebenen darstellt. Die anderen Optionen sind aus folgenden Gründen falsch: Amazon RDS DescribeDBInstances in der Region us-east-1: Obwohl dies eine Leseaktion ist, ist sie für einen anderen Dienst (RDS) und nicht für EC2. Amazon S3 PutObject in einen Bucket namens testbucket: PutObject ist eine Schreibaktion, die weitreichendere Berechtigungen erfordert. Amazon EC2 AttachNetworkInterface in der Region eu-west-1: AttachNetworkInterface ist eine Änderungsaktion und zudem in einer anderen Region, was spezifische Berechtigungen erfordern würde. Ohne die tatsächliche Richtlinie ist DescribeInstances die sicherste Annahme für eine zulässige Aktion, da sie den geringsten Privilegienansatz widerspiegelt und keine Änderungen am System vornimmt.