[AWS][SAA][EXAMTOPICS] Question 62

The following IAM policy has been established by a solutions architect.

Which actions will the policy permit?

• A. An AWS Lambda function can be deleted from any network.
• B. An AWS Lambda function can be created from any network.
• C. An AWS Lambda function can be deleted from the 100.220.0.0/20 network.
• D. An AWS Lambda function can be deleted from the 220.100.16.0/20 network.

 

한글 번역

다음 IAM 정책은 솔루션 설계자가 설정했습니다.

정책은 어떤 조치를 허용합니까?

• A. AWS Lambda 함수는 모든 네트워크에서 삭제할 수 있습니다.
• B. AWS Lambda 함수는 모든 네트워크에서 생성할 수 있습니다.
• C. AWS Lambda 함수는 100.220.0.0/20 네트워크에서 삭제할 수 있습니다.
• D. AWS Lambda 함수는 220.100.16.0/20 네트워크에서 삭제할 수 있습니다.

 

 

 

정답

• C. An AWS Lambda function can be deleted from the 100.220.0.0/20 network.

 

해설

IAM 정책은 Deny가 Allow 보다 우선순위를 가진다. 

Deny 정책을 확인해보면 220.100.16.0/20의 IP면 lambda:create와 delete가 제한되는 정책이라 확인할 수 있다.

Allow 정책은 모든 람다에 대한 활동을 허용해 주는 것이기 때문에

결국 100.220.0.0/20 네트워크에서 람다를 삭제할 수 있는 것이다.

 

 

20220911

항상 명심하자 정책 설정에서 거부 정책이 허용 정책보다는 우선시 되기 때문에, 밑에서부터 파악을 하도록 하자.

우선 특정 Action에 대해서 거부 정책이 설정되어 있는데, 특정 Action이라 함은, Lambda Function을 생성하고 지우는 Action에 대해서는 거부하는데 특정 조건은 접속 IP가 220.100.16.0점대의 IP에서 접속했을시 거부되고 있다.
그렇다면 허용 정책에 대해서는 Lambda와 관련된 모든 정책이 허용되어 있다. 그러므로 정답은 C "AWS Lambda 함수는 100.220.0.0/20 네트워크에서 삭제할 수 있습니다."
거부 정책에 조건에 해당하지 않는 IP이기 때문에, 삭제가 가능하다.