La siguiente política de IAM está adjunta a un grupo de IAM. Esta es la única política aplicada al grupo. ¿Cuáles son los permisos efectivos de IAM de esta política para los miembros del grupo?

La política tiene dos declaraciones. La primera declara un "Allow" para todas las acciones de EC2 en us-east-1. La segunda declara un "Deny" explícito para ec2:StopInstances y ec2:TerminateInstances en us-east-1 a menos que se use MFA. Las denegaciones explícitas siempre anulan los permisos, por lo que las acciones StopInstances y TerminateInstances están denegadas a menos que se cumpla la condición de MFA. Para todas las demás acciones de EC2 en us-east-1, la primera declaración de "Allow" es efectiva. La primera opción es incorrecta porque la declaración de "Deny" sí se aplica y modifica los permisos. La segunda opción es incorrecta porque la denegación solo se aplica a acciones específicas, no a todas las acciones de EC2. La tercera opción es incorrecta porque los permisos de StopInstances y TerminateInstances están restringidos a us-east-1 por la política, no a todas las regiones.