GuardDutyがS3バケットに対する異常なAPI呼び出しを検出した。このイベントを契機に、自動的にバケットポリシーを変更してアクセスをブロックしたい。推奨されるアーキテクチャはどれか。

IAM Permission Boundary（境界）が設定されたIAMユーザーが、新しいIAMロールを作成し、そのロールにAdministratorAccessポリシーをアタッチしようとした。しかし、作成されたロールには権限が制限されていた（または作成に失敗した）。これはなぜか。