Gegeven een IAM-beleid dat s3:GetObject en s3:PutObject beperkt voor een bucket genaamd DOC-EXAMPLE-BUCKET met een uitzondering voor objecten waarvan de sleutels beginnen met 'secrets', welk toegangsniveau staan die acties toe?

Het beleid beperkt s3:GetObject en s3:PutObject voor de DOC-EXAMPLE-BUCKET, wat betekent dat deze acties standaard niet zijn toegestaan. De uitzondering voor objecten waarvan de sleutels beginnen met 'secrets' heft deze beperking op voor die specifieke objecten. Dit betekent dat voor objecten in DOC-EXAMPLE-BUCKET die NIET beginnen met 'secrets', de acties s3:GetObject en s3:PutObject NIET zijn toegestaan. Voor objecten die WEL beginnen met 'secrets', zijn deze acties WEL toegestaan. De correcte optie beschrijft dit als toegang tot alle objecten in DOC-EXAMPLE-BUCKET behalve die met sleutels die beginnen met 'secrets', wat impliceert dat de beperking geldt voor de rest van de objecten. De andere opties zijn onjuist omdat ze ofwel de uitzondering verkeerd interpreteren, ofwel de reikwijdte van de bucket verkeerd voorstellen.