Einer EC2-Instance ist eine IAM-Rolle zugewiesen, die alle Amazon S3 API-Aktionen explizit verweigert. Dieselbe Instance verfügt auch über eine AWS-Anmeldeinformationsdatei, die einen Zugriffsschlüssel und einen geheimen Zugriffsschlüssel enthält, die volle Administratorrechte gewähren. Angesichts dieser mehreren IAM-Zugriffsmethoden auf der Instance, welche Aussage ist korrekt?

Die korrekte Antwort ist, dass die EC2-Instanz keine S3-Aktion auf keinem S3-Bucket ausführen kann. Dies liegt am IAM-Evaluierungslogik. Eine explizite Ablehnung (Deny) in einer IAM-Richtlinie überschreibt immer alle Zulassungen (Allow), unabhängig davon, ob die Zulassung von einer IAM-Rolle oder von Anmeldeinformationen in einer AWS-Anmeldeinformationsdatei stammt. Da der IAM-Rolle, die der Instanz zugewiesen ist, alle S3-API-Aktionen explizit verweigert werden, hat dies Vorrang vor den Administratorrechten, die durch die Anmeldeinformationsdatei gewährt werden. Die anderen Optionen sind falsch, da sie eine Form des S3-Zugriffs implizieren, der durch die explizite Ablehnung verhindert wird.