Wskaż warstwę, która odmówiła dostępu

Inżynier ma otwarte zgłoszenie: rola reports musi utworzyć użytkownika IAM na potrzeby jednorazowej migracji. Godzinę temu dodał iam:CreateUser do własnej polityki tej roli. Wywołanie nadal kończy się niepowodzeniem.

Otwórz konsolę Boundary effect console. Zaznacz iam:CreateUser w polityce tożsamości (identity policy), a potem przejdź kolejno przez trzy granice, które konto dołącza do nowych ról, obserwując kolumnę Effective.

W dwóch z trzech przypadków polityka tożsamości zezwala na działanie, a wywołanie i tak zostaje odrzucone.

Która warstwa odmawia dostępu?