Une organisation utilise AWS Organizations avec des politiques de contrôle de service (SCP). Le SCP racine inclut actuellement une restriction qui affecte Amazon Simple Email Service (Amazon SES). Les développeurs appartiennent à un groupe avec une politique IAM qui autorise les actions ses:*. Le compte se trouve dans une unité d'organisation (OU) avec un SCP qui autorise SES. Les développeurs reçoivent des erreurs d'autorisation lorsqu'ils accèdent à SES dans la console de gestion AWS. Quel changement un ingénieur en sécurité doit-il apporter pour que les développeurs puissent accéder à SES ?

Les politiques de contrôle de service (SCP) sont évaluées en premier et agissent comme des gardes-frontières pour les autorisations maximales dans une organisation AWS. Si le SCP racine contient une restriction pour Amazon SES, cette restriction s'applique à tous les comptes et unités d'organisation (OU) en dessous, quelle que soit la politique IAM ou le SCP d'OU qui tente d'accorder l'accès. Pour que les développeurs puissent accéder à SES, la restriction au niveau du SCP racine doit être supprimée. Les politiques basées sur les ressources ne peuvent pas outrepasser les SCP. AWS Control Tower n'est pas mentionné comme étant en cours d'utilisation, et même s'il l'était, ses protections sont souvent implémentées via des SCP.