Bir güvenlik mühendisi, yalnızca belirli sorumluların bir Amazon S3 bucket'ına nesneler koymasına izin vermek için ABAC uyguluyor. Sorumluların zaten Amazon S3 erişimi var. Bucket ilkesi, s3:PutObject'a yalnızca nesnenin Team etiketi sorumlunun Team etiketiyle eşleştiğinde izin vermelidir. Test sırasında, etiket değerleri eşleşmediğinde bile bir sorumlu nesneleri koymaya devam edebiliyor. Etiket değerleri farklı olduğunda PutObject'ın başarılı olmasını açıklayan faktör kombinasyonu nedir? (İki tane seçin.)

Doğru cevaplar, sorumlunun kimlik tabanlı ilkesinin koşulsuz s3:PutObject'a izin vermesi ve S3 bucket ilkesinin açık bir Reddetme içermemesidir. AWS izin değerlendirme mantığına göre, bir istek, bir izin ilkesi tarafından açıkça reddedilmedikçe ve aynı zamanda bir izin ilkesi tarafından izin verilirse başarılı olur. Bu senaryoda, kimlik tabanlı ilke koşulsuz izin verdiği için, bucket ilkesindeki koşulun karşılanmaması bile isteği durdurmaz. Bucket ilkesi açık bir reddetme içermediği için, kimlik tabanlı ilkenin izni geçerli olur ve nesne yükleme işlemi başarılı olur. Yanlış cevaplar: "Sorumlunun kimlik tabanlı ilkesi, kimlik tabanlı ilke açık bir Allow içerdiğinden bucket ilkesi koşulunu geçersiz kılar." Bu ifade kısmen doğru olsa da, asıl sorun bucket ilkesinin açık bir reddetme içermemesidir. "S3 bucket'ının kaynak ilkesi, sorumluya eylemler veremez." Bu yanlıştır, kaynak ilkeleri sorumlulara eylemler verebilir veya reddedebilir. "Bucket ilkesi, aynı güven bölgesindeki sorumlular için geçerli değildir." Bu yanlıştır, bucket ilkeleri, güven bölgelerinden bağımsız olarak tüm sorumlular için geçerlidir.