AWS API Gateway隐式否认不工作

Question

我有以下为AWS API网关配置的资源策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "execute-api:Invoke",
            "Resource": "arn:aws:execute-api:eu-north-1:XXX/*/*/some-api",
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": [
                        "some IP"
                    ]
                }
            }
        }
    ]
}

根据官方文档，我希望其他API被隐式拒绝。但是，这没有发生，我可以从任何随机IP地址从 some-api 调用其他API。设置有什么问题？

文档：

，然后是“默认情况下拒绝与explicit deny的拒绝之间的差异”的主题。它指的是：