Какой шлюз закрылся?

Ночной экспорт выполняется от имени ReportsExportRole, и отладка этой проблемы легла на вас. У роли есть kms:Decrypt в IAM-политике, но экспорт всё равно завершается с ошибкой.

Откройте симулятор Two-gate. В нём есть один вызов decrypt для `alias/reports», и вы можете независимо настроить каждый шлюз. Установите шлюз 1 в положение Allows kms:Decrypt, а шлюз 2 — в положение Does not name this caller: именно в таком состоянии сейчас находится экспорт.

Теперь сделайте то, что делает разработчик под давлением: нажмите Rotate now три раза и понаблюдайте за результатом.

После трёх нажатий Rotate now, что изменилось для неудачного вызова?