Une entreprise a configuré un point d'accès VPC de type passerelle pour Amazon S3 dans un VPC. Un seul sous-réseau du VPC utilise ce point d'accès en y acheminant le trafic S3. Le VPC dispose également d'une passerelle Internet. À partir d'une instance Amazon EC2 de ce sous-réseau, un ingénieur en sécurité tente d'utiliser les informations d'identification du profil d'instance pour récupérer un objet d'un compartiment S3, mais la requête échoue. Les autorisations du profil d'instance, la politique du compartiment S3, le groupe de sécurité et les listes de contrôle d'accès réseau (ACL réseau) ont tous été vérifiés et sont corrects. Que doit vérifier d'autre l'ingénieur en sécurité pour déterminer pourquoi la requête échoue ?

La politique du point d'accès VPC (VPC endpoint policy) est essentielle pour contrôler l'accès aux services AWS via un point d'accès de passerelle. Même si les autorisations du profil d'instance et la politique du compartiment S3 sont correctes, la politique du point d'accès peut restreindre l'accès. Si cette politique ne permet pas l'action s3:GetObject ou l'accès depuis le VPC ou l'instance spécifique, la requête échouera. Les autres options sont moins probables ou incorrectes : Les groupes de sécurité n'ont pas de règles de refus implicites ; ils autorisent ou refusent explicitement. Un point d'accès VPC de type passerelle n'a pas de groupe de sécurité. La passerelle Internet n'est pas utilisée pour le trafic vers S3 via un point d'accès de passerelle ; le trafic reste dans le réseau AWS.