说出拒绝的那一层

一位工程师提交了工单：reports 角色需要为一次性迁移创建一个 IAM 用户。他们在一小时前已将 iam:CreateUser 加到该角色自身的策略中。调用仍然失败。

打开 Boundary effect 控制台。在 identity policy 上勾选 iam:CreateUser，然后依次查看账户为新角色附加的三个边界，并观察 Effective 一列。

在三个中的两个场景里，identity policy 允许该操作，但调用仍被拒绝。

是哪一层在执行拒绝？