セキュリティエンジニアがABACを実装し、特定のプリンシパルのみがAmazon S3バケットにオブジェクトを配置できるようにしています。プリンシパルはすでにAmazon S3へのアクセス権を持っています。バケットポリシーは、オブジェクトのTeamタグがプリンシパルのTeamタグと一致する場合にのみs3:PutObjectを許可する必要があります。テスト中、タグの値が一致しない場合でもプリンシパルはオブジェクトを配置できます。タグの値が異なる場合にPutObjectが成功する理由を説明する要因の組み合わせはどれですか？（2つ選択してください。）

この問題は、AWSの評価ロジックを理解しているかを問うものです。プリンシパルがオブジェクトを配置できるのは、アイデンティティベースポリシーが条件なしでs3:PutObjectを許可しているためです。AWSのポリシー評価では、明示的な拒否がない限り、許可は常に優先されます。バケットポリシーに条件付きの許可があっても、アイデンティティベースポリシーがより広範な許可を与えている場合、その広範な許可が適用されます。 したがって、タグの値が一致しない場合でもオブジェクトを配置できるのは、以下の2つの要因の組み合わせによります。 1. プリンシパルのアイデンティティベースポリシーが、条件なしでバケットに対するs3:PutObjectを許可している。 2. S3バケットのリソースポリシーにs3:PutObjectに対する明示的なDenyが含まれていない。 もしバケットポリシーに明示的な拒否があれば、アイデンティティベースポリシーの許可よりも優先され、オブジェクトの配置は失敗します。