是哪一道閘門關上了？

每晚的匯出作業以 ReportsExportRole 身分執行，而現在輪到你來除錯。此角色在其 IAM 原則中擁有 kms:Decrypt，但匯出仍然失敗。

開啟 Two-gate 模擬器。它會對 alias/reports 進行一次解密呼叫，並讓你各自設定兩道閘門。把第 1 道閘門設為 Allows kms:Decrypt，第 2 道閘門設為 Does not name this caller，也就是目前匯出的狀態。

現在就做壓力下的開發者會做的事：連按三次 Rotate now，並觀察結果。

在按下 Rotate now 三次之後，對於失敗的呼叫有什麼改變？