보안 엔지니어가 모든 사용자의 액세스를 차단하는 명시적 거부(explicit deny)를 포함하는 Amazon S3 버킷 정책을 생성했습니다. 며칠 후, 엔지니어는 특정 직원에 대한 읽기 전용 액세스를 허용하는 새 문(statement)을 추가했습니다. 해당 직원은 여전히 Access Denied 오류를 수신합니다. 가장 가능성이 높은 이유는 무엇입니까?

Amazon S3 버킷 정책 평가 로직에 따라 명시적 거부(explicit deny)는 명시적 허용(explicit allow)보다 항상 우선합니다. 따라서 버킷 정책에 모든 사용자에 대한 명시적 거부가 포함되어 있으면, 나중에 특정 직원에 대한 읽기 전용 액세스를 허용하는 문을 추가하더라도 기존의 명시적 거부가 이 허용 문을 재정의하여 해당 직원은 여전히 액세스 거부 오류를 받게 됩니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. 버킷 ACL은 일반적으로 버킷 정책보다 우선하지 않으며, 이 시나리오에서는 버킷 정책이 주요 문제의 원인입니다. 사용자의 IAM 정책이 액세스를 허용하더라도 버킷 정책의 명시적 거부가 우선합니다. S3 버킷 정책 변경 사항은 일반적으로 즉시 적용되므로 전파 지연은 가장 가능성이 높은 원인이 아닙니다.