どちらのゲートが閉じていましたか？

毎晩実行されるエクスポート処理は ReportsExportRole として動作しており、そのデバッグがあなたの担当になりました。このロールの IAM ポリシーには kms:Decrypt が含まれていますが、エクスポートは依然として失敗します。

二重ゲートシミュレーターを開いてください。これは alias/reports に対する1回の復号呼び出しを保持し、各ゲートを個別に設定できます。ゲート1を「kms:Decrypt を許可」、ゲート2を「この呼び出し元を指定していない」に設定します。これがエクスポートの現在の状態です。

ここで、プレッシャーの中で開発者がやりがちなことをしてみましょう。「今すぐローテーション」を3回押して、結果を確認してください。

「今すぐローテーション」を3回押した後、失敗していた呼び出しに何が変わりましたか？