Un Allow ne suffit pas : IAM refuse quand même
Un rôle de déploiement autorisé à faire s3:PutObject reçoit AccessDenied. Le simulateur IAM, rejoué couche par couche : refus implicite, permission boundary, Deny explicite sur aws:SecureTransport, SCP de l’organisation.