Bir şirket, Amazon EC2 üzerinde dahili sistemler çalıştırmaktadır. Bir dağıtım sırasında, bir yönetici AWS CLI kullanarak bir EC2 örneğini sonlandırmaya çalışır ancak 403 (Erişim Reddedildi) hatası alır. Yönetici, aşağıdaki IAM politikasına sahip bir IAM rolü kullanmaktadır: Başarısız isteğe ne sebep olur?

Doğru cevap, isteğin belirtilen IP aralıklarından gelmemesidir. IAM politikası, Condition bloğunda aws:SourceIp anahtarını kullanarak isteğin yalnızca 192.0.2.0/24 veya 203.0.113.0/24 CIDR bloklarından gelmesi durumunda izin verildiğini belirtir. Yönetici bu IP aralıklarının dışından bir istek yaptığında, politika koşulu karşılanmaz ve istek reddedilir (403 hatası). Diğer seçenekler neden yanlış: EC2 örneğinin kaynak tabanlı bir politikası olması, bu senaryoda birincil sorun değildir. IAM rolü, kullanıcıya izin veren bir kimlik tabanlı politikadır ve bu politika koşulu karşılanmadığı için istek reddedilmiştir. Politika ifadesinin sorumluyu belirtmemesi doğru değildir; IAM politikaları genellikle bir sorumluyu belirtmez, bunun yerine bir IAM rolüne veya kullanıcıya eklenir ve bu rol/kullanıcı sorumluyu temsil eder. "Action" alanı, ec2:TerminateInstances iznini açıkça vermektedir, bu nedenle eylem eksikliği bir sorun değildir.