Een solutions architect heeft twee IAM policies gemaakt, genaamd Policy1 en Policy2, en deze gekoppeld aan een IAM-groep. Een cloud engineer wordt als IAM-gebruiker aan die groep toegevoegd. Welke actie kan de cloud engineer uitvoeren?

De cloud engineer kan Amazon EC2-instances verwijderen. De effectieve permissies van een IAM-gebruiker zijn de som van alle permissies die aan de gebruiker zijn toegekend, inclusief die via groepen. Aangezien de gebruiker lid is van een groep waaraan twee policies zijn gekoppeld, zal de gebruiker alle acties kunnen uitvoeren die door minimaal één van deze policies worden toegestaan. Als Policy1 of Policy2 (of beide) de permissie bevat om EC2-instances te verwijderen, dan kan de engineer dit doen. Zonder de inhoud van Policy1 en Policy2 te kennen, is dit de enige optie die mogelijk is op basis van de algemene werking van IAM-policies en groepen. De andere opties zijn niet noodzakelijk mogelijk, tenzij expliciet toegestaan door de policies.