Zespół DevOps zarządza uprawnieniami za pomocą AWS Identity and Access Management (IAM). Rola profilu instancji EC2 z zarządzaną przez AWS polityką ReadOnlyAccess jest dołączona do aplikacji działającej na Amazon EC2. Gdy aplikacja próbuje odczytać obiekt z zasobnika Amazon S3 zaszyfrowanego kluczem KMS, otrzymuje błąd AccessDenied. Polityka zasobnika S3 zezwala na dostęp wszystkim w koncie, a obiekt nie ma listy ACL. Co powinien zrobić administrator, aby rozwiązać problem z dostępem IAM?

Poprawna odpowiedź to dołączenie polityki wbudowanej do roli IAM, która przyznaje uprawnienia kms:Decrypt. Błąd AccessDenied występuje, ponieważ aplikacja próbuje odczytać obiekt zaszyfrowany kluczem KMS, a rola EC2 ma tylko uprawnienia ReadOnlyAccess, które nie obejmują deszyfrowania KMS. Aby uzyskać dostęp do zaszyfrowanego obiektu, rola IAM musi mieć uprawnienia do użycia klucza KMS do deszyfrowania. Modyfikacja zarządzanej polityki ReadOnlyAccess nie jest możliwa, ponieważ są to polityki zarządzane przez AWS. Dodanie roli IAM EC2 jako Principal w polityce zasobnika S3 nie rozwiąże problemu, ponieważ problem dotyczy braku uprawnień do deszyfrowania KMS, a nie dostępu do samego zasobnika S3. Dołączenie polityki wbudowanej z uprawnieniami S3: jest zbyt szerokie i nie rozwiązuje konkretnego problemu z deszyfrowaniem KMS.