拒否しているレイヤーを特定する

あるエンジニアが抱えている未解決のチケットがあります。reports ロールに、一度限りの移行作業のために IAM ユーザーを作成する権限が必要というものです。1時間前にロール自身のポリシーに iam:CreateUser を追加しましたが、呼び出しは依然として失敗します。

Boundary effect コンソールを開いてください。identity policy で iam:CreateUser にチェックを入れ、このアカウントが新規ロールにアタッチしている3つの境界を順に確認しながら、Effective 列の変化を観察します。

3つのうち2つでは、identity policy がそのアクションを許可しているにもかかわらず、呼び出しは拒否されたままです。

拒否しているのはどのレイヤーでしょうか。