Políticas con alcance concreto

Encuentra la concesión que no muestra el resumen limitado de un rol.

Lee ambos lados

Una política basada en recursos se adjunta a un recurso y puede conceder acceso a identidades específicas. En una evaluación sencilla de AWS dentro de una cuenta, una autorización aplicable de identidad o recurso puede permitir la acción. Un permiso limitado en un documento no limita automáticamente otra concesión.

Tres registros de Exportador

R1: La política del rol Exportador permite leer objetos bajo reports/approved/.

R2: La política del depósito concede al mismo rol lectura bajo reports/*, incluido reports/draft/forecast.csv.

R3: El responsable aprueba solo reports/approved/. Las políticas y el rol pertenecen a una cuenta.

Son resúmenes simplificados. Supón autenticación válida, condiciones coincidentes, requisitos de cifrado satisfechos y ninguna denegación explícita, límite de permisos, restricción de sesión u organización que afecte estas lecturas.

R2 aporta la autorización excesiva. Leer el borrador está permitido por la política, aunque quede fuera del propósito aprobado. R1 no resta permisos de R2. El comodín también incluye futuros nombres de objetos coincidentes; no concede operaciones ajenas, como borrar.

Una propuesta útil limita R2 al prefijo aprobado y comprueba otras concesiones antes del cierre. Añadir otra autorización limitada conserva el exceso original. Si se considera una denegación explícita, hay que evaluar qué consumidores legítimos también afectaría.

Escribe una revisión citando R2 y R3 con dos expectativas: el informe aprobado sigue siendo legible y el borrador se rechaza para Exportador. Separa autorización y uso observado: estos registros demuestran una concesión, no que alguien leyera el borrador. El acceso entre cuentas y otros tipos de políticas requieren evaluación propia.