Определите уровень, который заблокировал доступ

У инженера открыт тикет: роли reports нужно создать пользователя IAM для разовой миграции. Час назад в собственную политику роли добавили iam:CreateUser. Вызов по-прежнему завершается ошибкой.

Откройте консоль Boundary effect. Отметьте iam:CreateUser в identity-политике, затем последовательно переберите три границы, которые аккаунт присоединяет к новым ролям, и следите за столбцом Effective.

В двух случаях из трёх identity-политика разрешает действие, но вызов всё равно отклоняется.

Какой уровень блокирует доступ?