Een ontwikkelaar debugt een applicatie die Amazon DynamoDB (us-west-2) gebruikt. De app draait op een Amazon EC2-instance en heeft alleen-lezen toegang nodig tot een tabel genaamd Cars. De EC2-instance heeft een IAM-rol met een gekoppeld beleid, maar wanneer de app probeert de Cars-tabel te lezen, krijgt deze Access Denied. Hoe moet de ontwikkelaar dit probleem oplossen?

De juiste oplossing is om een trust policy aan te maken dat de EC2 service principal vermeldt en dit aan de rol te koppelen. Een trust policy definieert wie de rol mag aannemen. Als de EC2-instance de rol niet kan aannemen, krijgt de applicatie geen toegang tot de DynamoDB-tabel. De EC2 service principal is ec2.amazonaws.com. Het wijzigen van de Resource naar arn:aws:dynamodb:us-west-2:account-id:table/ of het bijwerken van het IAM-beleid om dynamodb: acties op te nemen, zou de permissies van de rol aanpassen, maar lost het onderliggende probleem van de EC2-instance die de rol niet kan aannemen niet op. Het creëren van een trust relationship met de dynamodb.amazonaws.com service principal is onjuist omdat deze principal wordt gebruikt voor DynamoDB-gerelateerde service-linked roles, niet voor EC2-instances die toegang nodig hebben tot DynamoDB.