用途：诊断 AI/ML 服务调用被拒的原因，仅支持 Amazon Bedrock 与 SageMaker，其他服务明确不受支持。它沿调用者身份、iam:PassRole、角色信任策略等授权链逐跳排查，指出是哪一跳拒绝，并给出供人工审查的限定范围策略。
主要能力：分八步执行——先确认服务与确实发生的失败（非推测性审计），用 sts:GetCallerIdentity 确定身份与作用域并标记跨账号；以策略文档为主要证据优先读取并手工评估，CloudTrail 与策略模拟仅作佐证；按优先级遍历六跳链；针对具体服务排除非 IAM 拒绝原因；对每跳给出封闭判定集中的一个结论（如 DENIED_BY、WOULD_ALSO_DENY、CANNOT_DETERMINE 等）；最后按报告格式渲染并做交付前校验。
使用方式：用户需提供错误信息，或主体 ARN 加失败的 API 调用；无实际失败时该技能会停止并要求补充信息。输出为完整报告，包含局限性说明与拟议策略，策略区分“源自观测失败”和“常见所需但未观测”两类。
限制：仅供人工审查，绝不自动应用策略，只允许调用只读 API 白名单；运行时可能拒绝 iam:SimulatePrincipalPolicy 或 cloudtrail:LookupEvents，这两者属于环境限制而非 IAM 权限缺失，不应当作 IAM 问题上报；策略读取可判定但无法覆盖会话策略、带条件的 SCP 及服务侧网关，可读策略显示允许不等于调用一定成功；每次诊断只依据本次收集的证据，不沿用过往前次结论。