Deweloper debuguje aplikację, która używa Amazon DynamoDB (us-west-2). Aplikacja działa na instancji Amazon EC2 i potrzebuje dostępu tylko do odczytu do tabeli o nazwie Cars. Instancja EC2 ma rolę IAM z dołączoną polityką, ale gdy aplikacja próbuje odczytać tabelę Cars, otrzymuje komunikat Access Denied. Jak deweloper powinien rozwiązać ten problem?

Poprawna odpowiedź to „Utwórz politykę zaufania, która zawiera podmiot usługi EC2, i dołącz tę politykę zaufania do roli”. Polityka zaufania (Trust Policy) określa, kto może przyjąć daną rolę IAM. W tym przypadku instancja EC2 musi mieć uprawnienia do przyjęcia roli, aby aplikacja mogła korzystać z jej uprawnień. Jeśli polityka zaufania nie zawiera podmiotu usługi EC2 (ec2.amazonaws.com), instancja nie będzie mogła używać tej roli, co skutkuje błędem Access Denied. Pozostałe opcje są nieprawidłowe: Zmiana Resource w polityce IAM na "arn:aws:dynamodb:us-west-2:account-id:table/" dotyczy uprawnień do zasobów, a nie problemu z zaufaniem roli. Zaktualizowanie polityki IAM, aby uwzględnić akcję dynamodb:, również dotyczy uprawnień, a nie problemu z zaufaniem roli. Utworzenie relacji zaufania między rolą IAM a podmiotem usługi dynamodb.amazonaws.com jest nieprawidłowe, ponieważ to instancja EC2 (a nie usługa DynamoDB) musi mieć zaufanie do roli.