Een SysOps-beheerder gebruikt IAM-referenties om een object te uploaden naar de S3-bucket van een klant met de naam DOC-EXAMPLE-BUCKET, maar ontvangt AccessDenied. Welke combinatie van wijzigingen lost de permissiefout op? (Kies twee.)

De foutmelding 'AccessDenied' bij het uploaden naar S3 duidt op onvoldoende permissies. Om dit op te lossen, moet de SysOps-beheerder zowel identiteitsgebaseerde als resourcegebaseerde permissies correct configureren. De eerste correcte optie is het koppelen van een IAM policy aan de IAM-gebruiker van de SysOps-beheerder. Deze policy moet expliciet de s3:PutObject actie (en eventueel gerelateerde acties zoals s3:GetObject of s3:ListBucket indien nodig) toestaan op de specifieke S3-bucket DOC-EXAMPLE-BUCKET. Dit geeft de gebruiker de benodigde permissies. De tweede correcte optie is het toevoegen van een bucket policy aan DOC-EXAMPLE-BUCKET. Deze bucket policy moet een statement bevatten dat de IAM principal van de SysOps-beheerder toestaat om de s3:PutObject actie uit te voeren op de bucket. S3-permissies vereisen dat zowel de IAM-gebruiker als de bucket de actie toestaan. De andere opties zijn incorrect omdat: Alleen de IAM-gebruiker aanpassen zonder een bucket policy is onvoldoende als de bucket zelf geen toegang toestaat (of vice versa). Het toevoegen van een IAM policy aan de root user van het klantaccount is een slechte beveiligingspraktijk en niet de juiste manier om specifieke gebruikers toegang te geven. Het wijzigen van de root user van het SysOps-beheerdersaccount is irrelevant voor de permissies van een IAM-gebruiker en ook een slechte beveiligingspraktijk.