Vilken spärr stoppade anropet?

En nattlig export körs som ReportsExportRole, och felsökningen har landat på dig. Rollen har kms:Decrypt i sin IAM-policy, men exporten misslyckas ändå.

Öppna Two-gate-simulatorn. Den innehåller ett decrypt-anrop mot alias/reports och låter dig ställa in varje spärr oberoende av den andra. Ställ spärr 1 på Allows kms:Decrypt och spärr 2 på Does not name this caller, vilket är det tillstånd exporten befinner sig i.

Gör nu det en utvecklare under tidspress gör: tryck på Rotate now tre gånger och se vad som händer med resultatet.

Efter att du tryckt på Rotate now tre gånger, vad ändrades för det misslyckade anropet?