AWS SAM CLIで、ローカルでLambda関数をDockerコンテナとして起動し、API Gateway経由の呼び出しをエミュレートするコマンドはどれか。

AWS KMSのキーポリシーとIAMポリシーの相互作用において、キーポリシーでルートユーザーへのアクセスを許可していない場合、IAMポリシーで `kms:*` を許可してもアクセスできない。この状態は何と呼ばれるか。