Инженер по безопасности создал политику корзины Amazon S3 с явным запретом (explicit deny), который блокирует доступ для всех пользователей. Через несколько дней инженер добавил новое правило, разрешающее доступ только для чтения (read-only) для конкретного сотрудника. Сотрудник по-прежнему получает сообщение Access Denied. Какова наиболее вероятная причина?

Явный запрет (explicit deny) всегда переопределяет любое правило разрешения (allow statement) в политиках AWS. Это фундаментальный принцип оценки политик безопасности AWS. Даже если позже было добавлено правило, разрешающее доступ, существующий явный запрет в той же политике корзины S3 будет иметь приоритет, блокируя доступ сотруднику. Необходимо обновить ACL корзины — ACL (Access Control Lists) используются для более детального контроля доступа к отдельным объектам, но политика корзины имеет более высокий приоритет для общих разрешений. Политика IAM пользователя не разрешает доступ к корзине — хотя это возможно, в данном сценарии проблема явно связана с политикой корзины S3, которая содержит явный запрет. Изменения политики корзины распространяются в течение нескольких минут — распространение обычно происходит быстро, и даже если была задержка, явный запрет все равно переопределил бы разрешение после распространения.