Architekt rozwiązań utworzył dwie polityki IAM o nazwach Policy1 i Policy2 i dołączył je do grupy IAM. Inżynier chmury został dodany jako użytkownik IAM do tej grupy. Jaką akcję będzie mógł wykonać inżynier chmury?

Prawidłowa odpowiedź to usuwanie instancji Amazon EC2. Ponieważ polityki IAM są dołączone do grupy, użytkownik należący do tej grupy dziedziczy uprawnienia z obu polityk. Aby określić, jakie działania może podjąć inżynier chmury, należy przeanalizować uprawnienia zdefiniowane w Policy1 i Policy2. Jeśli którakolwiek z tych polityk przyznaje uprawnienie do usuwania instancji EC2 (np. ec2:TerminateInstances), to inżynier chmury będzie mógł to zrobić. Pozostałe opcje (usuwanie użytkowników IAM, usuwanie katalogów, usuwanie logów z Amazon CloudWatch Logs) byłyby możliwe tylko wtedy, gdyby odpowiednie uprawnienia zostały wyraźnie przyznane w jednej z polityk. Bez znajomości konkretnej treści polityk, nie możemy jednoznacznie stwierdzić, które z tych działań są dozwolone, ale zasada dziedziczenia uprawnień z wielu polityk dołączonych do grupy jest kluczowa.