Inżynier bezpieczeństwa utworzył politykę dla zasobnika Amazon S3 (S3 bucket policy) z jawną odmową (explicit deny), która blokuje dostęp wszystkim użytkownikom. Kilka dni później inżynier dodał nową instrukcję, aby zezwolić na dostęp tylko do odczytu dla konkretnego pracownika. Pracownik nadal otrzymuje komunikat Access Denied. Jaki jest najbardziej prawdopodobny powód?

Prawidłowa odpowiedź to Jawna odmowa w polityce zasobnika nadpisuje instrukcję zezwolenia. W AWS, jawna odmowa (explicit deny) zawsze ma pierwszeństwo przed jawnym zezwoleniem (explicit allow). Oznacza to, że jeśli polityka zasobnika zawiera instrukcję jawnej odmowy dla wszystkich użytkowników, żadna instrukcja zezwolenia, nawet dodana później, nie będzie w stanie jej unieważnić. Aby pracownik uzyskał dostęp, należy zmodyfikować instrukcję jawnej odmowy, aby wykluczyć tego konkretnego pracownika, lub usunąć ją całkowicie i polegać na instrukcjach zezwolenia. Pozostałe opcje są nieprawidłowe: Listy kontroli dostępu (ACL) zasobnika są starszym mechanizmem kontroli dostępu i rzadko są używane do zarządzania uprawnieniami na poziomie użytkownika w S3, a ich aktualizacja nie rozwiązałaby problemu jawnej odmowy w polityce zasobnika. Polityka IAM użytkownika może zezwalać na dostęp, ale jeśli polityka zasobnika zawiera jawną odmowę, odmowa ta nadal będzie miała pierwszeństwo. Zmiany w polityce zasobnika S3 zazwyczaj propagują się niemal natychmiast, więc opóźnienie propagacji nie jest prawdopodobną przyczyną.