VPC zawiera wiele punktów końcowych VPC dla Amazon S3. Deweloper potrzebuje polityki zasobnika S3, która zapewnia dostęp do zasobnika tylko wtedy, gdy żądania pochodzą z tych punktów końcowych VPC. Które rozwiązanie spełnia ten wymóg?

Poprawna odpowiedź to utworzenie jednej polityki zasobnika S3, która wymienia wszystkie identyfikatory punktów końcowych VPC w warunku aws:SourceVpce (używając StringNotEquals). Ten warunek sprawdza, czy żądanie nie pochodzi z określonego punktu końcowego VPC. Aby zezwolić na dostęp tylko z tych punktów końcowych, należy użyć StringNotEquals w kombinacji z Deny dla wszystkich innych źródeł, lub StringEquals z Allow dla wymienionych punktów końcowych. W przypadku wielu punktów końcowych, wszystkie ich identyfikatory należy umieścić w jednej polityce. Pozostałe opcje są nieprawidłowe: Wiele polityk zasobnika S3 z StringNotEquals i pojedynczym ID nie zapewni spójnego dostępu, ponieważ polityki są oceniane niezależnie i mogą się wzajemnie wykluczać. Użycie aws:SourceVpc z ID VPC jest zbyt ogólne, ponieważ zezwoliłoby na dostęp z całej VPC, a nie tylko z konkretnych punktów końcowych. Użycie symbolu wieloznacznego, takiego jak vpce, nie jest obsługiwane w warunkach polityk IAM dla aws:SourceVpce.