Inżynier danych musi udostępnić zbiory danych w Amazon S3 analitykom danych z trzech działów: Finansów, Marketingu i Zasobów Ludzkich. Niektóre zbiory danych są poufne i powinny być dostępne tylko dla działu Finansów. Jak inżynier powinien skonfigurować dostęp do S3, aby spełnić te wymagania?

Poprawna odpowiedź to utworzenie jednego zasobnika S3 z dwoma folderami (poufne i niepoufne) i dołączenie odpowiednich polityk IAM do każdej grupy działowej. To rozwiązanie jest najbardziej efektywne i zgodne z najlepszymi praktykami AWS. Polityki IAM dołączone do grup użytkowników umożliwiają precyzyjne zarządzanie dostępem do konkretnych prefiksów (folderów) w zasobniku S3. Grupa Finansów otrzyma dostęp do obu folderów, natomiast Marketing i HR tylko do folderu niepoufnego. Pozostałe opcje są mniej optymalne: Tworzenie zasobnika dla każdego zbioru danych jest nieefektywne i trudne w zarządzaniu. Listy ACL zasobników (Bucket ACLs) są starszą metodą zarządzania uprawnieniami i zaleca się używanie polityk zasobników lub polityk IAM. Użycie polityk zasobników dla każdego zbioru danych również prowadzi do nadmiernej liczby zasobników i polityk. Ostatnia opcja, choć używa jednego zasobnika z folderami, sugeruje użycie polityki zasobnika, która może być trudniejsza w zarządzaniu dla wielu grup i folderów w porównaniu do polityk IAM dołączonych bezpośrednio do grup użytkowników. Polityki IAM na poziomie użytkownika/grupy są bardziej elastyczne w tym scenariuszu.