Una organización utiliza AWS Organizations con políticas de control de servicios (SCP). La SCP raíz actualmente incluye una restricción que afecta a Amazon Simple Email Service (Amazon SES). Los desarrolladores pertenecen a un grupo con una política de IAM que permite las acciones `ses:*`. La cuenta está en una OU con una SCP que permite SES. Los desarrolladores reciben errores de no autorizado al acceder a SES en la AWS Management Console. ¿Qué cambio debe hacer un ingeniero de seguridad para que los desarrolladores puedan acceder a SES?

Las políticas de control de servicios (SCP) en AWS Organizations anulan los permisos de IAM. Si la SCP raíz deniega una acción, ninguna política de IAM o SCP anidada puede permitirla. La restricción de SES en la SCP raíz está causando el error de no autorizado, a pesar de que la política de IAM del grupo de desarrolladores y la SCP de la OU permiten el acceso a SES. Para que los desarrolladores puedan acceder a SES, la restricción debe eliminarse de la SCP raíz. Las políticas basadas en recursos no anulan las SCP. AWS Control Tower no es relevante aquí, ya que el problema se centra en las SCP de Organizations.