EC2 üzerindeki bir uygulama daha önce DynamoDB'yi boto aracılığıyla çağırmak için ortam değişkenlerinde depolanan IAM kullanıcı erişim anahtarlarını kullanıyordu. Geliştirici, aynı izinlere sahip bir instance role ekledi ve ardından IAM kullanıcısını sildi. Yeniden başlattıktan sonra, uygulama günlükleri AccessDeniedException gösteriyor, ancak geliştirici kendi kişisel hesabını kullanarak sunucuda DynamoDB CLI komutlarını çalıştırabiliyor. İstisnanın EN OLASI nedeni nedir?

Uygulama, ortam değişkenlerinde depolanan eski IAM kullanıcı erişim anahtarlarını kullanmaya devam ediyor. EC2 instance'ına bir instance rolü atanmış olsa bile, uygulama kodunun veya yapılandırmasının hala eski ortam değişkenlerini öncelikli olarak kullanacak şekilde ayarlanmış olması muhtemeldir. AWS SDK'ları, kimlik bilgisi zincirini takip ederek kimlik bilgilerini belirli bir sırayla arar. Ortam değişkenleri genellikle instance profili kimlik bilgilerinden daha yüksek önceliğe sahiptir. Geliştiricinin kendi hesabıyla CLI komutlarını çalıştırabilmesi, CLI'ın kendi yapılandırılmış kimlik bilgilerini kullanmasından kaynaklanmaktadır, bu da uygulamanın kullandığı kimlik bilgilerinden farklıdır. IAM politikalarının yayılması genellikle saniyeler içinde gerçekleşir ve bu senaryoda AccessDeniedException'ın doğrudan nedeni değildir. AWS SDK'sı, instance rolü kimlik bilgilerini tamamen destekler. Security group'un 169.254.169.254 adresine erişimi engellemesi, instance rolü kimlik bilgilerinin alınmasını engellerdi, ancak bu durumda uygulama eski kimlik bilgilerini kullanmaya çalıştığı için AccessDeniedException almaktadır.