Una cuenta de AWS tiene dos buckets de S3: bucket1 y bucket2. bucket2 no tiene una política de bucket. bucket1 tiene una política de bucket específica. La misma cuenta tiene un usuario de IAM llamado alice con una política de IAM específica. ¿A qué buckets puede acceder alice?

Alice puede acceder a ambos buckets. La política de IAM de Alice define sus permisos a nivel de usuario, que se aplican a todos los recursos de S3 en la cuenta a menos que una política de bucket los restrinja explícitamente. Como bucket2 no tiene una política de bucket, los permisos de Alice para bucket2 están determinados únicamente por su política de IAM. Para bucket1, la política de bucket se evalúa junto con la política de IAM de Alice. Si la política de IAM de Alice le otorga acceso y la política de bucket de bucket1 no deniega explícitamente ese acceso, Alice podrá acceder a bucket1. En AWS, los permisos son aditivos, y una denegación explícita anula cualquier permiso.