Een AWS-account heeft twee S3-buckets: bucket1 en bucket2. bucket2 heeft geen bucket policy. bucket1 heeft een specifieke bucket policy. Hetzelfde account heeft een IAM-gebruiker genaamd alice met een specifieke IAM policy. Tot welke buckets heeft alice toegang?

Alice heeft toegang tot zowel bucket1 als bucket2. AWS-toegangsbeheer evalueert altijd alle relevante beleidsregels om een beslissing te nemen. Dit omvat zowel identiteitsgebaseerde beleidsregels (zoals de IAM-policy van Alice) als resourcegebaseerde beleidsregels (zoals S3-bucket policies). Als er geen expliciete Deny is, zal een expliciete Allow in een van de beleidsregels toegang verlenen. Voor bucket1: De IAM-policy van Alice kan toegang verlenen, zelfs als de bucket policy van bucket1 beperkend is, tenzij de bucket policy een expliciete Deny bevat die voor Alice geldt. Als de IAM-policy toegang verleent, krijgt ze toegang. Voor bucket2: Hoewel bucket2 geen bucket policy heeft, kan de IAM-policy van Alice toegang verlenen tot deze bucket. Zonder een bucket policy zijn er geen resource-specifieke beperkingen, dus de IAM-policy is doorslaggevend. Daarom kan Alice, afhankelijk van de inhoud van haar IAM-policy, toegang hebben tot beide buckets. Alleen bucket1 of alleen bucket2 zijn onjuist omdat de IAM-policy van Alice toegang kan verlenen tot beide, en Noch bucket1, noch bucket2 is onjuist om dezelfde reden.