Break-Fix : AccessDenied sur S3 malgré une politique IAM correcte

Incident — Depuis la migration réseau d'hier, l'application de reporting (instance EC2, rôle app-rapports) reçoit AccessDenied en lisant s3://acme-rapports/2026/q3.pdf. La politique IAM du rôle n'a pas changé.

1. Vérifiez l'identité (aws sts get-caller-identity), reproduisez (aws s3 cp s3://acme-rapports/2026/q3.pdf .) et contrôlez les politiques du rôle (aws iam list-attached-role-policies --role-name app-rapports)
2. Lisez la politique du compartiment (aws s3api get-bucket-policy --bucket acme-rapports --query Policy --output text) et les points de terminaison VPC S3 actuels (aws ec2 describe-vpc-endpoints --filters Name=service-name,Values=com.amazonaws.eu-west-3.s3 --query "VpcEndpoints[].VpcEndpointId")
3. Cause → answer cause <deny-explicite|allow-manquant|kms> ; point de terminaison à autoriser → answer vpce <id>
4. Corrigez ~/s3/politique-bucket.json (en gardant le refus explicite), appliquez (aws s3api put-bucket-policy --bucket acme-rapports --policy file://politique-bucket.json, depuis ~/s3) et vérifiez la lecture