Un ingeniero de seguridad creó una política de bucket de Amazon S3 con una denegación explícita que bloquea el acceso a todos los usuarios. Unos días después, el ingeniero añadió una nueva declaración para permitir el acceso de solo lectura a un empleado específico. El empleado sigue recibiendo "Acceso denegado". ¿Cuál es la razón más probable?

En AWS, una denegación explícita siempre anula cualquier permiso explícito. Si una política de bucket de S3 contiene una denegación explícita para todos los usuarios, incluso si se añade posteriormente una declaración de permiso para un usuario específico, la denegación explícita seguirá teniendo precedencia y bloqueará el acceso. Para que el empleado acceda, la denegación explícita debe modificarse o eliminarse para no aplicarse a ese usuario o acción. Las ACL de bucket son un mecanismo de control de acceso heredado y no suelen ser la causa principal de conflictos de políticas con las políticas de bucket. La política de IAM del usuario podría ser un factor, pero la política de bucket es evaluada primero y una denegación explícita allí es definitiva. Los cambios en las políticas de S3 generalmente se propagan rápidamente, por lo que una demora no es la razón más probable.