Eine Organisation verwendet AWS Organizations mit Service Control Policies (SCPs). Das Root-SCP enthält derzeit eine Einschränkung, die Amazon Simple Email Service (Amazon SES) betrifft. Entwickler gehören zu einer Gruppe mit einer IAM-Richtlinie, die `ses:*`-Aktionen zulässt. Das Konto befindet sich in einer OU mit einem SCP, das SES zulässt. Entwickler erhalten "not authorized"-Fehler, wenn sie in der AWS Management Console auf SES zugreifen. Welche Änderung muss ein Sicherheitsingenieur vornehmen, damit Entwickler auf SES zugreifen können?

Service Control Policies (SCPs) sind restriktiv; eine explizite Ablehnung in einem übergeordneten SCP überschreibt alle Zulassungen in untergeordneten SCPs oder IAM-Richtlinien. Da das Root-SCP eine Einschränkung für Amazon SES enthält, wird der Zugriff auf SES für alle Konten in der Organisation blockiert, unabhängig von anderen Richtlinien. Um Entwicklern den Zugriff zu ermöglichen, muss diese Einschränkung aus dem Root-SCP entfernt werden. Ressourcenbasierte Richtlinien sind für den Zugriff auf bestimmte Ressourcen gedacht, nicht für die Behebung von SCP-Blockaden. AWS Control Tower Guardrails sind nicht direkt im Szenario erwähnt und würden nicht die Ursache für eine Root-SCP-Einschränkung sein.