Een beveiligingsengineer heeft een Amazon S3 bucket policy gemaakt met een expliciete deny die toegang blokkeert voor alle gebruikers. Een paar dagen later heeft de engineer een nieuwe statement toegevoegd om read-only toegang toe te staan voor een specifieke medewerker. De medewerker krijgt nog steeds "Access Denied". Wat is de meest waarschijnlijke reden?

AWS IAM-beleidsevaluatielogica volgt een strikte volgorde: een expliciete deny heeft altijd voorrang op een allow, zelfs als de allow later is toegevoegd of specifieker lijkt. In dit scenario heeft de oorspronkelijke expliciete deny voor alle gebruikers prioriteit boven de nieuwe allow-statement voor de specifieke medewerker. De medewerker krijgt daarom nog steeds "Access Denied". De bucket ACL is niet relevant omdat bucketbeleid en IAM-beleid ACL's overschrijven voor de meeste toegangsscenario's. Propagatie van beleidswijzigingen duurt meestal seconden, niet minuten, en is hier niet de primaire oorzaak. Het IAM-beleid van de gebruiker is irrelevant, omdat het bucketbeleid de toegang op de resource zelf regelt.