Der Server hat die Anfrage verstanden, die Ausführung ist aber verboten. Es ist nicht das Problem einer mangelhaften Autorisierung, sondern die Anfrage ist grundsätzlich nicht erlaubt.