ある組織では、AWS Organizations をサービスコントロールポリシー (SCP) とともに使用しています。現在、ルート SCP には Amazon Simple Email Service (Amazon SES) に影響する制限が含まれています。開発者は、ses:* アクションを許可する IAM ポリシーを持つグループに属しています。このアカウントは、SES を許可する SCP を持つ OU にあります。開発者が AWS マネジメントコンソールで SES にアクセスすると、認証されていないエラーが発生します。開発者が SES にアクセスできるようにするために、セキュリティエンジニアはどのような変更を行う必要がありますか？

AWS Organizationsのサービスコントロールポリシー (SCP) は、組織内のアカウントに適用されるアクセス許可の最大値を定義します。SCPは、IAMポリシーよりも優先され、IAMポリシーが許可していても、SCPが拒否すればアクセスは拒否されます。このシナリオでは、ルートSCPがAmazon SESへのアクセスを制限しているため、開発者のIAMポリシーがSESアクションを許可していても、認証エラーが発生します。開発者がSESにアクセスできるようにするには、ルートSCPからSESの制限を削除する必要があります。 他の選択肢は正しくありません。リソースベースのポリシーは、リソースへのアクセスを制御しますが、SCPによる組織全体の制限を上書きすることはできません。AWS Control Towerガードレールは、SCPによって実装されるため、SCPの制限を削除するのと同じ効果があります。