Un'istanza EC2 ha un ruolo IAM allegato che nega esplicitamente tutte le azioni API di Amazon S3. La stessa istanza ha anche un file di credenziali AWS contenente una chiave di accesso e una chiave di accesso segreta che concedono privilegi amministrativi completi. Dati questi molteplici metodi di accesso IAM sull'istanza, quale affermazione è corretta?

La risposta corretta è che l'istanza EC2 non sarà in grado di eseguire alcuna azione S3. Questo perché le policy IAM seguono una logica di valutazione specifica: un deny esplicito ha sempre la precedenza su qualsiasi allow. Anche se il file delle credenziali AWS fornisce privilegi amministrativi completi, la policy di negazione esplicita allegata al ruolo IAM dell'istanza prevale su tutte le altre autorizzazioni. Le opzioni che suggeriscono che l'istanza possa eseguire azioni S3 sono errate perché ignorano il principio del deny esplicito. Le policy IAM sono progettate per garantire che le negazioni esplicite fungano da "interruttore di sicurezza" definitivo, impedendo l'accesso anche se altre policy o credenziali concedono permessi.