Bir IAM kullanıcısı, bir Amazon S3 bucket'ındaki nesnelere erişmeye çalışırken Access Denied hataları alıyor. Kullanıcı ve bucket aynı AWS hesabında. Bucket, AWS KMS anahtarları (SSE-KMS) ve aynı hesaptan bir müşteri tarafından yönetilen anahtar ile sunucu tarafı şifreleme kullanıyor. Bucket ilkesi (policy) bulunmuyor. Kullanıcının IAM ilkesi, anahtar üzerinde kms:Decrypt'e ve bucket ile nesneler üzerinde s3:List* ve s3:Get*'e izin veriyor. Kullanıcının nesnelere erişememesinin olası nedeni nedir?

Doğru cevap, KMS anahtar ilkesinin AWS hesabı için tam erişimi kaldıracak şekilde değiştirilmiş olmasıdır. Varsayılan olarak, bir KMS anahtarının anahtar ilkesi, anahtarı oluşturan AWS hesabına tam erişim verir. Ancak, bu ilke değiştirilirse ve belirli IAM kullanıcılarına veya rollere açıkça izin verilmezse, bu kullanıcılar anahtarı kullanamaz. Kullanıcının IAM ilkesi kms:Decrypt iznine sahip olsa bile, KMS anahtar ilkesi bu izni reddediyorsa veya hesaba genel erişimi kısıtlıyorsa, kullanıcı şifrelenmiş nesnelere erişemez. Diğer seçenekler neden yanlış: kms:DescribeKey izni, şifrelenmiş nesnelere erişim için zorunlu değildir; anahtarın özelliklerini görüntülemek içindir. Bucket'ın AWS tarafından yönetilen KMS anahtarına geçirilmesi, mevcut senaryoda Access Denied hatasının doğrudan nedeni olmaz, çünkü sorun müşteri tarafından yönetilen anahtarın ilkesiyle ilgilidir. Bucket ilkesi olmaması, aynı hesaptaki bir IAM kullanıcısının erişimini engellemez, çünkü IAM ilkesi genellikle yeterlidir. Bucket ilkesi, genellikle farklı hesaplardan erişimi yönetmek veya daha ayrıntılı kontroller sağlamak için kullanılır.