Bir EC2 örneğinin, tüm Amazon S3 API eylemlerini açıkça reddeden ekli bir IAM rolü vardır. Aynı örnekte ayrıca tam yönetici ayrıcalıkları veren bir erişim anahtarı ve gizli erişim anahtarı içeren bir AWS kimlik bilgileri dosyası bulunmaktadır. Örnekteki bu birden çok IAM erişim yöntemi göz önüne alındığında, hangi ifade doğrudur?

Doğru cevap, EC2 örneğinin herhangi bir S3 bucket'ında herhangi bir S3 eylemini gerçekleştiremeyeceğidir. Bunun nedeni, AWS IAM politikalarının açıkça reddetme (explicit deny) ilkesidir. Açıkça reddetme, diğer tüm izinleri (izin verilen bir IAM rolü veya erişim anahtarları gibi) geçersiz kılar. Bu durumda, IAM rolündeki açık reddetme ifadesi, örnekteki AWS kimlik bilgileri dosyasında bulunan tam yönetici ayrıcalıklarına sahip erişim anahtarlarından daha öncelikli olacaktır. Dolayısıyla, örnek S3 ile ilgili hiçbir işlem yapamayacaktır. Diğer seçenekler yanlıştır çünkü açık reddetme, listeleme veya tek bir bucket ile sınırlı eylemler gibi kısmi izinleri de geçersiz kılar ve tam yönetici ayrıcalıklarının etkili olmasını engeller.