Un ingénieur de sécurité met en œuvre l'ABAC pour permettre uniquement à des mandataires spécifiques de placer des objets dans un compartiment Amazon S3. Les mandataires ont déjà un accès à Amazon S3. La politique de compartiment doit autoriser s3:PutObject uniquement lorsque la balise Team de l'objet correspond à la balise Team du mandataire. Lors des tests, un mandataire peut toujours placer des objets lorsque les valeurs de balise ne correspondent pas. Quelle combinaison de facteurs explique pourquoi PutObject réussit lorsque les valeurs de balise diffèrent ? (Choisissez deux.)

Le succès de PutObject malgré des balises non correspondantes indique que la politique basée sur l'identité du mandataire accorde s3:PutObject sans conditions restrictives. Dans AWS IAM, un Allow explicite dans une politique d'identité prime sur un Deny implicite (l'absence d'autorisation) dans une politique de ressource. De plus, la politique de compartiment S3 ne contient pas de Deny explicite pour s3:PutObject lorsque les balises ne correspondent pas. Si un Deny explicite avait été présent dans la politique de compartiment, il aurait annulé l'autorisation de la politique d'identité, car les Deny explicites priment toujours sur les Allow explicites. Les autres options sont incorrectes car : Une politique d'identité avec Allow explicite ne "contourne" pas une condition de politique de compartiment ; elle est évaluée selon la logique de décision IAM. Une politique de ressource de compartiment S3 peut accorder des actions à des mandataires. La politique de compartiment s'applique aux mandataires, quelle que soit leur zone de confiance.