AWS PowerUserAccess在创建VM时无法列出角色,但策略将其显示为允许

我已将策略PowerUserAccess分配给一个组。这方面的政策是:

{
"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Allow",
        "NotAction": [
            "iam:*",
            "organizations:*"
        ],
        "Resource": "*"
    },
    {
        "Effect": "Allow",
        "Action": [
            "iam:CreateServiceLinkedRole",
            "iam:DeleteServiceLinkedRole",
            "iam:ListRoles",
            "organizations:DescribeOrganization"
        ],
        "Resource": "*"
    }
]
}

在第二个权限中,似乎授予了iam:ListRoles。但是,当我尝试创建VM并尝试查看要分配给它的角色时,会收到消息“您没有列出任何IAM角色的权限。请与管理员联系,或检查您的IAM权限。”

我是否应该能够将角色作为超级用户分配给EC2实例?是否需要授予其他权限?