Инженер по безопасности внедряет ABAC, чтобы разрешить только определённым субъектам загружать объекты в корзину Amazon S3. Субъекты уже имеют доступ к Amazon S3. Политика корзины должна разрешать s3:PutObject только тогда, когда тег Team объекта совпадает с тегом Team субъекта. Во время тестирования субъект всё ещё может загружать объекты, когда значения тегов не совпадают. Какая комбинация факторов объясняет, почему PutObject выполняется успешно, когда значения тегов различаются? (Выберите два.)

Правильный ответ состоит из двух частей. Во-первых, если политика на основе удостоверений субъекта предоставляет s3:PutObject без условий, это разрешение будет действовать независимо от условий в политике корзины. Разрешения объединяются, и если одно из них безусловно разрешает действие, оно будет выполнено. Во-вторых, политика корзины S3 не содержит явного запрета (Deny) для s3:PutObject. В AWS явный запрет всегда переопределяет любое разрешение. Если явного запрета нет, а есть безусловное разрешение от политики удостоверений, действие будет разрешено. Неправильные варианты: Политика на основе удостоверений субъекта переопределяет условие политики корзины, потому что политика на основе удостоверений содержит явное разрешение (Allow). Это не совсем точно. Политика удостоверений не "переопределяет" политику корзины; они оцениваются вместе. Проблема в том, что политика удостоверений предоставляет разрешение без условий. Политика ресурсов корзины S3 не может предоставлять действия субъекту. Это неверно; политики ресурсов S3 могут предоставлять разрешения субъектам. Политика корзины не применяется к субъектам в той же зоне доверия. Это неверно; политики корзины применяются ко всем запросам к корзине, независимо от того, находится ли субъект в той же учетной записи или нет.