AWS○×難易度 応用

同じ操作に Allow と Deny の両方が当たるとき、IAM では Deny が優先される。

正答

○ 正しい

解説

IAM のポリシー評価では、まず明示的な Deny があるかを見て、あればそれ以降の Allow を無視してアクセスを拒否する。Deny がなければ、いずれかのポリシーに Allow があるかを確認し、なければ暗黙的に拒否される。この仕組みにより、広い Allow を持つユーザーに対して特定の操作だけを Deny で確実に止めるガードレールを作れる。「あとに書いた方が勝つ」「Allow の数が多ければ許可」といった順序や多数決の考え方は誤り。

参考: docs.aws.amazon.com

iampolicydeny