Un ingénieur de sécurité a créé une politique de compartiment Amazon S3 avec un refus explicite qui bloque l'accès à tous les utilisateurs. Quelques jours plus tard, l'ingénieur a ajouté une nouvelle instruction pour autoriser l'accès en lecture seule à un employé spécifique. L'employé reçoit toujours un message « Accès refusé ». Quelle est la raison la plus probable ?

En AWS IAM, un refus explicite l'emporte toujours sur toute instruction d'autorisation, même si l'instruction d'autorisation est ajoutée ultérieurement. La politique de compartiment initiale contenait un refus explicite global, qui bloque efficacement tout accès. L'ajout d'une instruction d'autorisation pour un utilisateur spécifique ne peut pas annuler ce refus explicite préexistant. Pour résoudre ce problème, l'ingénieur doit modifier la politique de refus explicite pour qu'elle soit plus spécifique ou la supprimer si elle n'est plus nécessaire. Les autres options sont incorrectes car : Les ACL de compartiment sont moins granulaires et ne sont généralement pas la cause de tels problèmes de politique IAM. Si la politique IAM de l'utilisateur n'autorisait pas l'accès, cela pourrait être un problème, mais le refus explicite de la politique de compartiment est la cause immédiate et prioritaire. Les modifications de politique de compartiment se propagent généralement très rapidement, et non en plusieurs minutes.