Une instance EC2 possède un rôle IAM attaché qui refuse explicitement toutes les actions d'API Amazon S3. La même instance possède également un fichier d'informations d'identification AWS contenant une clé d'accès et une clé d'accès secrète qui accordent des privilèges administratifs complets. Compte tenu de ces multiples méthodes d'accès IAM sur l'instance, quelle affirmation est correcte ?

La bonne réponse est que l'instance EC2 ne pourra effectuer aucune action S3 sur aucun bucket S3. Cela est dû au principe de la refus explicite dans AWS IAM. Un refus explicite l'emporte toujours sur toute autorisation accordée, qu'elle provienne d'un rôle IAM ou de clés d'accès configurées localement. Même si les informations d'identification locales accordent des privilèges administratifs complets, la politique de refus explicite attachée au rôle IAM de l'instance empêchera toute action S3. Les autres options sont incorrectes car elles impliquent que certaines actions S3 seraient possibles, ce qui contredit le principe de refus explicite.