ประตูไหนที่ปิดกั้นอยู่

มีงาน export ที่รันทุกคืนภายใต้ ReportsExportRole และงาน debug นี้ตกมาอยู่ที่คุณ role นี้มี kms:Decrypt อยู่ใน IAM policy แล้ว แต่การ export ก็ยังล้มเหลว

เปิด Two-gate simulator ซึ่งจำลองการเรียก decrypt หนึ่งครั้งกับ alias/reports และให้ตั้งค่าแต่ละประตูแยกจากกันได้ ตั้งประตูที่ 1 เป็น Allows kms:Decrypt และประตูที่ 2 เป็น Does not name this caller ซึ่งเป็นสถานะที่งาน export กำลังเจออยู่

จากนั้นลองทำแบบที่นักพัฒนาที่กำลังเร่งแก้ปัญหามักทำ: กด Rotate now สามครั้งแล้วสังเกตผลลัพธ์

หลังจากกด Rotate now สามครั้ง อะไรเปลี่ยนไปสำหรับการเรียกที่ล้มเหลวนี้