Een applicatie die draait op Amazon EC2-instances moet objecten ophalen uit een Amazon S3-bucket. Alle objecten in de bucket zijn versleuteld met een AWS Key Management Service (AWS KMS) customer managed key. De VPC heeft geen internettoegang en gebruikt een gateway VPC endpoint voor Amazon S3. De applicatie kan geen objecten ophalen. Welke factoren kunnen dit probleem veroorzaken? (Kies drie.)

De applicatie moet objecten ophalen, wat de s3:GetObject actie vereist. Als het IAM instance profile de s3:ListBucket actie niet toestaat, kan de applicatie de inhoud van de bucket niet zien, wat een voorwaarde kan zijn voor het ophalen van objecten. Aangezien de objecten versleuteld zijn met KMS, heeft de applicatie de kms:Decrypt permissie nodig om de objecten te kunnen ontsleutelen. Zonder deze permissie kan de applicatie de versleutelde data niet lezen. Tot slot, omdat de VPC een gateway VPC endpoint gebruikt voor S3, moet het S3 bucket policy expliciet toegang via dit endpoint toestaan. Als dit niet het geval is, wordt de toegang geweigerd. De s3:ListParts actie is relevant voor multipart uploads, niet voor het ophalen van objecten. kms:ListKeys is niet nodig voor ontsleuteling; kms:Decrypt is de relevante actie. De security group van de EC2-instances heeft geen inkomende regel nodig voor S3; de verbinding is uitgaand en wordt beheerd door het VPC endpoint en de routeertabel.