Een bedrijf draait interne systemen op Amazon EC2. Tijdens een deployment probeert een beheerder een EC2-instance te beëindigen met behulp van de AWS CLI, maar ontvangt een 403 (Access Denied). De beheerder gebruikt een IAM-rol waaraan het volgende IAM-beleid is gekoppeld: Wat veroorzaakt de mislukte aanvraag?

De foutmelding "Access Denied" (403) in combinatie met het gegeven beleid wijst op een voorwaardelijke weigering. Het IAM-beleid bevat een Condition die vereist dat de aanvraag afkomstig is van specifieke IP-adresbereiken (aws:SourceIp). Als de beheerder de AWS CLI-opdracht uitvoert vanaf een IP-adres dat buiten 192.0.2.0/24 of 203.0.113.0/24 valt, wordt de toegang geweigerd, zelfs als de Action (ec2:TerminateInstances) wel is toegestaan. De andere opties zijn onjuist: Een resource-based beleid op de EC2-instance is onwaarschijnlijk de oorzaak, aangezien IAM-rollen primair de toegang van principals tot resources bepalen. Het beleidsstatement hoeft de principal niet te specificeren; dit wordt impliciet gedaan door de IAM-rol waaraan het beleid is gekoppeld. Het veld "Action" (ec2:TerminateInstances) verleent wel degelijk de benodigde permissie om een EC2-instance te beëindigen.