AWS IAM矛盾策略咨询：ALLOW与DENY规则冲突时如何生效

当IAM中存在允许和拒绝某资源/操作的矛盾策略时，核心遵循拒绝优先的规则，具体评估流程如下：

• 第一步：检查所有生效的IAM策略（包括用户、组、角色附加的策略，以及资源级策略如S3桶策略）中是否存在显式拒绝（即策略中包含"Effect": "Deny"的语句）。只要有任何一条策略明确拒绝了目标操作或资源，最终访问结果就是拒绝，不会再继续评估其他策略。
• 第二步：如果没有找到任何显式拒绝，再检查是否存在显式允许（"Effect": "Allow"）的策略。只要有至少一条策略明确允许，就会判定为允许访问。
• 第三步：如果既没有显式拒绝也没有显式允许，触发IAM的默认拒绝规则——所有未被明确允许的操作，默认都是拒绝的。

举个实际场景例子：
假设你有一条策略允许你对s3:GetObject操作访问arn:aws:s3:::my-bucket/*，同时另一条策略明确拒绝你对s3:GetObject操作访问arn:aws:s3:::my-bucket/secret/*。当你尝试访问my-bucket/secret/xxx.txt时，会因为显式拒绝的存在，直接被阻止，允许策略不会生效。

内容的提问来源于stack exchange，提问作者omer727