IAMポリシーの設定はこちらの記事参考にするとミニマムでできそうで良き
https://qiita.com/ita-k/items/5d6e8ceaf3f0a970b594

上記、間違いでした。

アクションの選択ではExcute APIを選択します。

でもって、こんな感じに設定します。
違和感持っておいてよかったとは思えど、解決に時間かかった、、、

冒頭の文章を書いてから、この文章を書き始めるまでに２時間くらい混乱してあっち行ってこっち行ってを繰り返してましたが、例のごとくクラスメソッドさんがめちゃくちゃいい記事を書いていて、「これが言いたかったんだよこれが」となったので貼っておきます。
https://dev.classmethod.jp/articles/get-aws-temporary-security-credentials-with-cognito-id-pool-by-aws-cli/

躓いた箇所を一応残しておきます。
Cognitoのユーザープール内でユーザーグループを作成するのは直感的ですぐ分かって、操作も簡単で、すぐにできるです。その一方で、ユーザープールに対してIAMロールを割り当てようとした時に、Principalの部分（＝”信頼されたエンティティ”、つまり誰が・何が行うかの部分）に指定できる情報の中に、ユーザープールのグループを示すようなものがありませんでした。その代わりにIDプールを指定するような仕様になっていて、理解の浅かった私はかなり混乱していました。

「今はユーザープールのユーザーグループに対してIAMロール設定したいのに、なぜPrincipalにはIDプールしか指定できないんだ？」と。

その答えは上記のクラスメソッドさんの記事で紹介されているのでこちらでは割愛します。

ここか？

それっぽい表示、、

Before you can begin using your new Amazon Cognito identity pool, you must assign one or more IAM roles to determine the level of access you want your application end users to have to your AWS resources. Identity pools define two types of identities: authenticated and unauthenticated. Each can be assigned their own role in IAM. Authenticated identities belong to users who are authenticated by a public login provider (Amazon Cognito user pools, Facebook, Google, SAML, or any OpenID Connect Providers) or a developer provider (your own backend authentication process), while unauthenticated identities typically belong to guest users.

When Amazon Cognito receives a user request, the service will determine if the request is either authenticated or unauthenticated, determine which role is associated with that authentication type, and then use the policy attached to that role to respond to the request. For a list of fine-grained IAM role example policies to choose from, see IAM Roles in the Amazon Cognito Developer Guide.

Note
As a best practice, define policies that follow the principle of granting least privilege. In other words, the policies should include only the permissions that users require to perform their tasks. For more information, see Grant Least Privilege in the IAM User Guide. Remember that unauthenticated identities are assumed by users who do not log in to your app. Typically, the permissions that you assign for unauthenticated identities should be more restrictive than those for authenticated identities.

解決しました！

上記の設定ですが、Cognito IDプールが、Cognitoユーザープールと連携したりなんやかんやして、きめ細かいIAMロールの設定（今回のようなグループごとのIAMロールの設定など）をするために必要みたいですね。そのほかにも正確には分からないですが、cognito-syncはCognitoユーザープールに登録されている、ユーザーごとの属性を編集したりするためのものかな？と思いました。

ChatGPTさんでサクッと解説

このJSONは、IAMロールまたはIAMユーザーに関連付けられたIAMポリシーを表します。このポリシーには、3つのアクション（mobileanalytics:PutEvents、cognito-sync:、cognito-identity:）が含まれており、それらのすべてに"Allow"の許可が設定されています。これらのアクションによって、モバイルアプリのアナリティクスイベントをAmazon Mobile Analyticsに送信したり、Amazon Cognito Syncサービスを使用したり、Amazon Cognito Identityサービスを使用したりすることができます。

また、"Resource"に"*"が指定されているため、このポリシーによって、このアカウント内のすべてのリソースに対してこれらのアクションを許可することができます。ただし、このポリシーがどのIAMロールまたはIAMユーザーに関連付けられているかに応じて、このポリシーが実際に適用される範囲は異なります

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "mobileanalytics:PutEvents",
        "cognito-sync:*",
        "cognito-identity:*"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}