Un'organizzazione utilizza AWS Organizations con service control policy (SCP). L'SCP root include attualmente una restrizione che interessa Amazon Simple Email Service (Amazon SES). Gli sviluppatori appartengono a un gruppo con una policy IAM che consente le azioni ses:*. L'account si trova in un'OU con un SCP che consente SES. Gli sviluppatori ricevono errori di autorizzazione negata quando accedono a SES nella AWS Management Console. Quale modifica deve apportare un ingegnere della sicurezza affinché gli sviluppatori possano accedere a SES?

La risposta corretta è rimuovere la restrizione di Amazon SES dall'SCP root. Gli SCP (Service Control Policies) agiscono come guardrail a livello di organizzazione e sovrascrivono qualsiasi permesso concesso da policy IAM a livello di account o utente. Se l'SCP root nega esplicitamente l'accesso a SES, nessuna policy IAM o SCP a livello di OU può concederlo. Rimuovere la restrizione dall'SCP root consentirà alle policy IAM e agli SCP di OU di applicare i permessi desiderati. Le altre opzioni sono errate perché: Aggiungere una policy basata sulle risorse non risolverebbe il problema, in quanto gli SCP negano l'accesso prima che le policy basate sulle risorse vengano valutate. AWS Control Tower non è menzionato come parte della configurazione iniziale, quindi rimuovere un guardrail di Control Tower non è pertinente.