将IAM用户限制为某些EC2实例类型

Question

我正在尝试限制AWS IAM用户只能启动t2.micro和t2.small个实例。我已应用以下权限，但我无法使用此配置启动任何实例。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "ec2:RunInstances",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "ec2:InstanceType": [
                        "t2.micro",
                        "t2.small"
                    ]
                }
            }
        }
    ]
}

我希望这能给予我完全许可，然后拒绝该类型不是t2.micro或t2.small，但它似乎否认了所有内容。