Gọi tên lớp đã từ chối

Một kỹ sư có một ticket đang mở: role reports cần tạo một IAM user cho một lần di trú tạm thời. Họ đã thêm iam:CreateUser vào chính policy của role cách đây một giờ. Lệnh gọi vẫn thất bại.

Mở console Boundary effect. Chọn iam:CreateUser trên identity policy, rồi lần lượt thử qua ba boundary mà tài khoản gắn cho các role mới và quan sát cột Effective.

Trong hai trong số ba trường hợp, identity policy cho phép hành động nhưng lệnh gọi vẫn bị từ chối.

Lớp nào đang thực hiện việc từ chối?