說出是哪一層拒絕了請求

有位工程師開了一張待辦單：reports 這個角色需要建立一個 IAM 使用者來做一次性的移轉。他在 1 小時前已把 iam:CreateUser 加進角色本身的政策。呼叫仍然失敗。

開啟 Boundary effect 主控台。在 identity policy 勾選 iam:CreateUser，接著依序套用帳號對新角色附加的 3 種邊界，並觀察 Effective 欄位。

在其中 2 種情況下，identity policy 允許該動作，但呼叫仍被拒絕。

是哪一層在拒絕？