Een data-engineer moet datasets in Amazon S3 delen met data scientists in drie afdelingen: Financiën, Marketing en Human Resources. Sommige datasets zijn gevoelig en mogen alleen toegankelijk zijn voor Financiën. Hoe moet de engineer de S3-toegang configureren om aan deze vereisten te voldoen?

De correcte aanpak is om één S3-bucket te gebruiken met een logische scheiding (mappen) voor gevoelige en niet-gevoelige data. Door IAM policies te koppelen aan de afdelingsgroepen, kan fijnmazige toegang worden geconfigureerd: Financiën krijgt toegang tot beide mappen, terwijl Marketing en HR alleen toegang krijgen tot de niet-gevoelige map. Dit is schaalbaar en volgt het principe van least privilege. De andere opties zijn minder efficiënt of minder veilig: Meerdere buckets met ACL's (optie 1) zijn onnodig complex en ACL's zijn minder flexibel dan IAM policies voor gedetailleerde toegangscontrole. Meerdere buckets met bucket policies (optie 2) leiden tot onnodige overhead bij het beheren van meerdere buckets en policies. Eén bucket met een bucket policy die toegang regelt voor groepen (optie 4) is mogelijk, maar het beheren van toegangsrechten via IAM policies direct op de groepen is vaak duidelijker en beter te auditen, vooral wanneer gebruikers tot meerdere groepen behoren.