Política de IAM que bloquea permisos concretos para ciertos principales aunque un rol los otorgue. Se evalúa antes que las políticas de permiso y se hereda en la jerarquía de recursos.
En el ACE es la forma de restringir un permiso heredado: las políticas de permiso solo suman, así que para quitar, por ejemplo, storage.buckets.delete en un proyecto concreto se usa una política de denegación.
Política de denegación de IAM (deny policy) es uno de los conceptos que puede aparecer en el examen. Revisa la guía completa para verlo en contexto.