高效定位:报错里的 RequestId 可查到具体被拒的 action 与 resource——和策略内容 diff 一下立刻见分晓。调试期可临时绑定该产品的只读策略缩小范围,确认是策略缺失还是资源描述写错。