ポリシーをユーザーやトークンに割り当てるタイミングはいつか。

複数のポリシーがアタッチされた場合、権限はどのように判定されるか。