Veja o deny implícito em ação

Você está de plantão esta semana. Uma função agendada chamada report-archiver copia o relatório de cada manhã para um bucket de arquivamento, e ela falhou todos os dias do seu rodízio. A primeira reação da equipe foi anexar uma política mais ampla e seguir em frente.

Antes que alguém faça isso, use o AccessDenied investigator para descobrir que tipo de negação é essa. Execute a função e leia a falha, depois abra a função (role) e leia o evaluation trace.

Dois tipos de negação produzem a mesma mensagem, e eles exigem correções opostas. Diga qual deles você está vendo.