Un usuario de IAM recibe errores de Acceso Denegado al intentar acceder a objetos en un bucket de Amazon S3. El usuario y el bucket están en la misma cuenta de AWS. El bucket utiliza cifrado del lado del servidor con claves de AWS KMS (SSE-KMS) y una clave administrada por el cliente de la misma cuenta. No hay una política de bucket. La política de IAM del usuario permite kms:Decrypt en la clave y s3:List* y s3:Get* en el bucket y los objetos. ¿Cuál es una posible razón por la que el usuario no puede acceder a los objetos?

La razón más probable es que la política de la clave KMS se modificó para eliminar el acceso total de la cuenta de AWS. Aunque la política de IAM del usuario permite kms:Decrypt, la política de la clave KMS (que es el control de acceso principal para las claves KMS) debe permitir explícitamente que la cuenta de AWS o el usuario específico realicen operaciones de descifrado. Si la política de la clave KMS se ha endurecido para eliminar el acceso predeterminado de la cuenta, el usuario no podrá descifrar los objetos, incluso si su política de IAM lo permite. Las otras opciones son incorrectas: kms:DescribeKey no es necesario para el acceso a objetos; se utiliza para ver los detalles de la clave. Si el bucket se cambió a una clave KMS administrada por AWS, el problema de acceso a la clave KMS administrada por el cliente no existiría. Una política de bucket no es estrictamente necesaria si la política de IAM del usuario ya otorga los permisos s3:List y s3:Get y la política de la clave KMS permite el acceso.