Użytkownik IAM otrzymuje błędy Access Denied podczas próby dostępu do obiektów w zasobniku Amazon S3. Użytkownik i zasobnik znajdują się na tym samym koncie AWS. Zasobnik używa szyfrowania po stronie serwera za pomocą kluczy AWS KMS (SSE-KMS) i klucza zarządzanego przez klienta z tego samego konta. Nie ma zasad zasobnika (bucket policy). Zasady IAM użytkownika zezwalają na kms:Decrypt dla klucza oraz s3:List* i s3:Get* dla zasobnika i obiektów. Jaki jest możliwy powód, dla którego użytkownik nie może uzyskać dostępu do obiektów?

Poprawna odpowiedź to: Zasady klucza KMS zostały zmodyfikowane w celu usunięcia pełnego dostępu dla konta AWS. Wyjaśnienie: Użytkownik IAM potrzebuje uprawnień do odszyfrowania danych za pomocą klucza KMS. Nawet jeśli zasady IAM użytkownika zezwalają na kms:Decrypt, to zasady klucza KMS (Key Policy) muszą również zezwalać na tę operację dla konta AWS lub konkretnego użytkownika. Domyślne zasady klucza KMS dają pełny dostęp dla konta, ale mogły zostać zmodyfikowane. Jeśli zasady klucza KMS zostały zmienione tak, aby usunąć domyślny dostęp dla konta, użytkownik nie będzie mógł użyć klucza, nawet jeśli jego zasady IAM na to zezwalają. Niepoprawne opcje: Zasady IAM muszą również zezwalać na kms:DescribeKey: kms:DescribeKey nie jest wymagane do odszyfrowania obiektów. Zasobnik został zmieniony tak, aby używał klucza KMS zarządzanego przez AWS do szyfrowania danych w spoczynku: Pytanie wyraźnie stwierdza, że zasobnik używa klucza zarządzanego przez klienta (SSE-KMS z kluczem zarządzanym przez klienta). Należy dodać zasady zasobnika (bucket policy), aby umożliwić użytkownikowi IAM dostęp do obiektów: Zasady zasobnika nie są wymagane, gdy użytkownik i zasobnik znajdują się na tym samym koncie, a zasady IAM użytkownika są prawidłowo skonfigurowane.