Een bedrijf heeft een gateway VPC endpoint voor Amazon S3 geconfigureerd in een VPC. Slechts één subnet in de VPC gebruikt het endpoint door S3-verkeer erdoorheen te routeren. De VPC heeft ook een internetgateway. Vanaf een Amazon EC2-instantie in dat subnet probeert een beveiligingsingenieur de instantieprofielreferenties te gebruiken om een object uit een S3-bucket op te halen, maar de aanvraag mislukt. De instantieprofielmachtigingen, S3-bucketbeleid, security group en netwerk-ACL's zijn allemaal geverifieerd als correct. Wat moet de beveiligingsingenieur nog meer controleren om te bepalen waarom de aanvraag mislukt?

De aanvraag mislukt waarschijnlijk omdat het VPC endpointbeleid de toegang tot Amazon S3 niet toestaat. Hoewel de IAM-machtigingen, S3-bucketbeleid, security groups en netwerk-ACL's correct zijn, regelt het endpointbeleid specifiek welke principals toegang hebben tot welke S3-acties via dat gateway endpoint. Zonder de juiste machtigingen in het endpointbeleid, zelfs met correct geconfigureerde IAM-rollen, zal de toegang via het endpoint mislukken. De security group van de EC2-instantie is niet relevant voor uitgaand verkeer naar S3 via een endpoint. Een security group voor het VPC endpoint is niet van toepassing op gateway endpoints; deze zijn alleen voor interface endpoints. De internetgateway is niet betrokken bij verkeer naar S3 via een gateway endpoint, aangezien het endpoint een directe route biedt binnen het AWS-netwerk.