Приложение на EC2 ранее использовало ключи доступа пользователя IAM, хранящиеся в переменных окружения, для вызова DynamoDB через boto. Разработчик присоединил роль экземпляра с теми же разрешениями, а затем удалил пользователя IAM. После перезапуска в логах приложения появляется AccessDeniedException, но разработчик может выполнять команды DynamoDB CLI, используя свою личную учетную запись на сервере. Какова НАИБОЛЕЕ вероятная причина исключения?

Наиболее вероятная причина в том, что приложение продолжает использовать старые учетные данные из переменных окружения. Хотя роль экземпляра была присоединена, многие приложения, особенно те, которые ранее использовали переменные окружения, не обновляют свои учетные данные автоматически. После удаления пользователя IAM эти учетные данные стали недействительными, что привело к AccessDeniedException. Разработчик может использовать CLI, потому что его личная учетная запись имеет необходимые разрешения, и CLI по умолчанию использует учетные данные, настроенные для пользователя, а не для роли экземпляра, если не указано иное. Распространение политик IAM обычно происходит быстро и не является причиной длительных сбоев. AWS SDK полностью поддерживает учетные данные, полученные с помощью роли экземпляра. Группа безопасности не влияет на доступ к метаданным экземпляра (169.254.169.254), который используется для получения временных учетных данных роли.