Bir çözümler mimarı, Policy1 ve Policy2 adında iki IAM politikası oluşturdu ve bunları bir IAM grubuna ekledi. Bir bulut mühendisi, bu gruba bir IAM kullanıcısı olarak eklendi. Bulut mühendisi hangi eylemi gerçekleştirebilecektir?

Doğru cevap, bulut mühendisinin Amazon EC2 örneklerini silebilmesidir. IAM politikaları (Policy1 ve Policy2) belirtilmediği için, bu politikaların EC2 silme izinlerini içerdiği varsayılır. Bir IAM kullanıcısı bir gruba eklendiğinde, o gruba atanmış tüm politikaların izinlerini devralır. Bu nedenle, eğer grup politikaları EC2 örneklerini silme izni veriyorsa, kullanıcı bu eylemi gerçekleştirebilir. Diğer seçenekler (IAM kullanıcılarını silme, dizinleri silme, CloudWatch Logs'tan günlükleri silme) yanlış kabul edilir çünkü bu eylemler için özel izinler gerekir ve bu izinlerin verilen politikalar içinde yer aldığına dair bir bilgi yoktur. IAM, en az ayrıcalık ilkesini takip eder; yani, açıkça izin verilmedikçe bir eylem gerçekleştirilemez.