Una empresa ejecuta sistemas internos en Amazon EC2. Durante una implementación, un administrador intenta terminar una instancia EC2 usando la AWS CLI, pero recibe un error 403 (Acceso denegado). El administrador está usando un rol de IAM que tiene la siguiente política de IAM adjunta: ¿Qué causa la solicitud fallida?

La política de IAM adjunta al rol del administrador incluye una condición aws:SourceIp que restringe la acción ec2:TerminateInstances a solicitudes que se originan desde los bloques CIDR 192.0.2.0/24 o 203.0.113.0/24. El error 403 (Acceso denegado) indica que la solicitud no cumplió con esta condición, lo que significa que el administrador intentó terminar la instancia desde una dirección IP fuera de los rangos permitidos. Las otras opciones son incorrectas: Una política basada en recursos en la instancia EC2 no causaría un error 403 en este escenario, ya que la política de IAM del rol es la que está denegando el acceso. La declaración de política no necesita especificar el principal porque se adjunta directamente a un rol de IAM, y el principal es implícitamente el rol. El campo "Action" sí otorga el permiso ec2:TerminateInstances, por lo que el problema no es la falta de este permiso en sí, sino la condición asociada.