Het volgende IAM-beleid is gekoppeld aan een IAM-groep. Dit is het enige beleid dat op de groep wordt toegepast. Wat zijn de effectieve IAM-machtigingen van dit beleid voor groepsleden?

Het beleid bevat twee statements. Het eerste statement (Effect: Allow) staat alle EC2-acties toe in de us-east-1 regio. Het tweede statement (Effect: Deny) weigert specifiek de ec2:StopInstances en ec2:TerminateInstances acties in us-east-1, tenzij de gebruiker is ingelogd met MFA. Omdat een Deny-statement altijd voorrang heeft op een Allow-statement, worden de StopInstances en TerminateInstances acties geweigerd, tenzij MFA wordt gebruikt. Voor alle andere EC2-acties in us-east-1 geldt het Allow-statement. De optie "Statements na de Allow-machtiging worden niet toegepast" is onjuist; alle statements worden geëvalueerd. De optie die stelt dat alle EC2-machtigingen worden geweigerd tenzij MFA wordt gebruikt, is ook onjuist, omdat dit alleen geldt voor de twee specifieke acties. De optie die aangeeft dat de machtigingen voor alle regio's gelden, is onjuist, aangezien de resource-ARN specifiek is voor us-east-1.