Thứ tự đánh giá IAM Policy (deny-by-default)

Khi một lời gọi API được xác thực, evaluator gom identity policy, resource policy, permission boundary và guardrail cấp tổ chức (SCP) lại rồi áp logic deny-by-default: một EXPLICIT DENY ở bất kỳ tầng nào cũng thắng tuyệt đối, allow phải đến từ cả hai phía (identity và resource khi cross-account), còn boundary chỉ có thể thu hẹp chứ không cấp thêm quyền.