Un'azienda esegue sistemi interni su Amazon EC2. Durante un deployment, un amministratore tenta di terminare un'istanza EC2 utilizzando la AWS CLI, ma riceve un errore 403 (Access Denied). L'amministratore sta utilizzando un ruolo IAM a cui è associata la seguente policy IAM: Cosa causa il fallimento della richiesta?

L'errore 403 (Access Denied) indica che la richiesta è stata bloccata da una policy. La policy IAM fornita include una condizione aws:SourceIp che limita le azioni ec2:TerminateInstances e ec2:StopInstances solo se la richiesta proviene dai blocchi CIDR specificati (192.0.2.0/24 o 203.0.113.0/24). Se l'amministratore ha tentato di terminare l'istanza da un indirizzo IP esterno a questi intervalli, la richiesta verrà negata. Le altre opzioni sono meno probabili: Una policy basata sulle risorse con un'istruzione Deny sull'istanza EC2 è possibile, ma la policy IAM allegata al ruolo dell'amministratore è la causa più diretta e evidente del problema, data la condizione aws:SourceIp. La policy non specifica il principal perché è una policy di autorizzazione allegata a un ruolo IAM; il principal è il ruolo stesso quando viene assunto. Il campo "Action" include ec2:TerminateInstances, quindi le autorizzazioni per terminare l'istanza sono esplicitamente concesse, ma sono soggette alla condizione aws:SourceIp.