Bir DevOps ekibi, izinleri AWS Identity and Access Management (IAM) ile yönetmektedir. AWS tarafından yönetilen ReadOnlyAccess politikasına sahip bir EC2 instance profile rolü, Amazon EC2 üzerinde çalışan bir uygulamaya eklenmiştir. Uygulama, bir KMS anahtarıyla şifrelenmiş bir Amazon S3 bucket'ından bir nesneyi okumaya çalıştığında AccessDenied hatası alıyor. S3 bucket politikası, hesaptaki herkes için erişime izin veriyor ve nesnenin ACL'si yok. Yöneticinin IAM erişim sorununu çözmek için ne yapması gerekir?

Uygulama, KMS anahtarıyla şifrelenmiş bir S3 nesnesini okumaya çalışırken AccessDenied hatası alıyor çünkü ReadOnlyAccess politikası S3'e okuma erişimi sağlasa da KMS anahtarının şifresini çözme izni içermez. IAM rolüne kms:Decrypt izni veren bir satır içi politika eklemek, uygulamanın şifreli nesneye erişimini sağlayacaktır. Diğer seçenekler: ReadOnlyAccess politikası AWS tarafından yönetildiği için değiştirilemez. S3 bucket politikasına EC2 IAM rolünü Principal olarak eklemek, S3 erişimini çözebilir ancak KMS şifre çözme sorununu çözmez. S3: izinleri veren bir satır içi politika eklemek, S3 erişimini genişletir ancak yine KMS şifre çözme iznini sağlamaz.