状況
同じアカウントのロールで、本番バケットに aws s3 cp でアップロードすると AccessDenied になり、エラー文に with an explicit deny in a resource-based policy と出る。ロールの IAM ポリシーには s3:PutObject の許可がある。
最も疑わしいのは？
- Aロールの IAM ポリシーの Resource の書き方
- B組織のサービスコントロールポリシー（SCP）
- CIAM ユーザーのアクセスキーの有効期限
- Dバケットポリシーにある Deny 文の条件
正答
- A
- B
- C
- D
解説
resource-based policy はバケットポリシーなどリソース側のポリシーを指し、explicit deny はそこにある Deny 文に当たったことを示す。IAM ポリシーの許可が足りないなら no identity-based policy allows、SCP なら service control policy と書かれるので、A・B は文言から外れる。ロールの一時的な認証情報で動いており、アクセスキーの期限も関係しない（C）。本番バケットには、HTTPS 以外の通信や、指定の暗号化をしないアップロードを拒否する Deny 文がよく置かれている。Deny 文を消して回避するのではなく、条件に合う送り方に直す。
この問題を含む AWS のテストを制限時間つきで解く
AWSクイズへ