Проблема с явным отказом push-уведомлений AWS Mobile APP

Я пытаюсь использовать push-уведомления в приложении AWS Mobile для некоторых установленных сигналов тревоги, но получаю это сообщение об ошибке:

"Операцию не удалось выполнить

Пользователь: arn:aws:sts::AAAAAAA:assumed-role/AWSReservedSSO_AWSAdministratorAccess_BBBBBB/CCCCCC не имеет прав на выполнение: notifications:CreateNotificationConfiguration для ресурса: arn:aws:notifications:us-east-1:AAAAAAA:configuration/* с явным запретом"*

При этом AAAAAAA – это целевая учетная запись AWS |
BBBBB – это ID администратора доступа |
CCCCC – это адрес электронной почты администратора.

Контекст:

Пользователь CCCCC (т. е. я) имеет полный доступ администратора. У него есть прикрепленная политика AWS AdministratorAccess, которая является

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*"
        }
    ]
}

Наша среда AWS была настроена третьей стороной с использованием AWS Control Tower Organizations.

Я проверил следующее:

1. Границы разрешений набора разрешений AWSAdministratorAccess, к которому привязан мой пользователь – ничего не настроено.
2. Все политики управления службами на явный запрет для любого упоминания “уведомлений” – не найдено.
3. Все включенные контроли с использованием AWS Control Tower для учетной записи AAAAAAA на любой ссылке явного запрета “уведомлений” – не найдено.

Ближайшая к этому информация, которую я нашел, заключается в том, что, когда я нахожусь в приложении AWS Mobile и выбираю “уведомления”, оно не дает мне выбрать регион, однако сообщение об ошибке подразумевает, что я пытаюсь получить доступ к ресурсу в us-east-1, в то время как моя среда находится в ap-southeast-2, и одним из контролей, включенных в AWS Control Tower, является “[AWS-GR_REGION_DENY] Запретить доступ к AWS на основе запрашиваемого региона AWS”

Детали SCP:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": [
            "ap-southeast-2"
          ]
        },
        "ArnNotLike": {
          "aws:PrincipalARN": [
            "arn:aws:iam::*:role/AWSControlTowerExecution"
          ]
        }
      },
      "Resource": "*",
      "Effect": "Deny",
      "NotAction": [
        "a4b:*",
        "access-analyzer:*",
        "account:*",
        "acm:*",
        "activate:*",
        "artifact:*",
        "aws-marketplace-management:*",
        "aws-marketplace:*",
        "aws-portal:*",
        "billing:*",
        "billingconductor:*",
        "budgets:*",
        "ce:*",
        "chatbot:*",
        "chime:*",
        "cloudfront:*",
        "cloudtrail:LookupEvents",
        "compute-optimizer:*",
        "config:*",
        "consoleapp:*",
        "consolidatedbilling:*",
        "cur:*",
        "datapipeline:GetAccountLimits",
        "devicefarm:*",
        "directconnect:*",
        "ec2:DescribeRegions",
        "ec2:DescribeTransitGateways",
        "ec2:DescribeVpnGateways",
        "ecr-public:*",
        "fms:*",
        "freetier:*",
        "globalaccelerator:*",
        "health:*",
        "iam:*",
        "importexport:*",
        "invoicing:*",
        "iq:*",
        "kms:*",
        "license-manager:ListReceivedLicenses",
        "lightsail:Get*",
        "mobileanalytics:*",
        "networkmanager:*",
        "notifications-contacts:*",
        "notifications:*",
        "organizations:*",
        "payments:*",
        "pricing:*",
        "quicksight:DescribeAccountSubscription",
        "resource-explorer-2:*",
        "route53-recovery-cluster:*",
        "route53-recovery-control-config:*",
        "route53-recovery-readiness:*",
        "route53:*",
        "route53domains:*",
        "s3:CreateMultiRegionAccessPoint",
        "s3:DeleteMultiRegionAccessPoint",
        "s3:DescribeMultiRegionAccessPointOperation",
        "s3:GetAccountPublicAccessBlock",
        "s3:GetBucketLocation",
        "s3:GetBucketPolicyStatus",
        "s3:GetBucketPublicAccessBlock",
        "s3:GetMultiRegionAccessPoint",
        "s3:GetMultiRegionAccessPointPolicy",
        "s3:GetMultiRegionAccessPointPolicyStatus",
        "s3:GetStorageLensConfiguration",
        "s3:GetStorageLensDashboard",
        "s3:ListAllMyBuckets",
        "s3:ListMultiRegionAccessPoints",
        "s3:ListStorageLensConfigurations",
        "s3:PutAccountPublicAccessBlock",
        "s3:PutMultiRegionAccessPointPolicy",
        "savingsplans:*",
        "shield:*",
        "sso:*",
        "sts:*",
        "support:*",
        "supportapp:*",
        "supportplans:*",
        "sustainability:*",
        "tag:GetResources",
        "tax:*",
        "trustedadvisor:*",
        "vendor-insights:ListEntitledSecurityProfiles",
        "waf-regional:*",
        "waf:*",
        "wafv2:*"
      ],
      "Sid": "GRREGIONDENY"
    }
  ]
}

У меня заканчиваются идеи, и я пока не смог найти решение, несмотря на поиск этой проблемы в Google, чтение документации AWS и т. д.

Буду признателен за любую помощь. Спасибо!