S3バケットポリシーにおいて、`NotPrincipal` 要素を使用する場合、明示的に「拒否(Deny)」を含めないと効果がない理由はどれか。

NotPrincipal で指定したユーザー以外を「許可」するわけではなく、通常は「拒否」の例外を…