管理者が、AWS アカウント 1111-1111-1111 を含む組織単位 (OU) にサービスコントロールポリシー (SCP) をアタッチしました。このアカウントの開発者から、Amazon S3 バケットを作成できないという報告がありました。開発者がバケットを作成できるようにするために、管理者はどうすべきですか？

SCPは、AWSアカウントが実行できるアクションの最大権限を定義するガードレールです。SCPが特定のアクションを許可していても、IAMポリシーはそのアクションを明示的に拒否したり、許可しない場合があります。この場合、OUにアタッチされたSCPはs3:CreateBucketアクションをブロックしていません。開発者がバケットを作成できないのは、IAMユーザー、グループ、またはロールにs3:CreateBucket権限がないためです。したがって、管理者は開発者に必要なIAM権限を追加するよう指示すべきです。SCPを変更しても、IAMポリシーで許可されていない限り、開発者はバケットを作成できません。アカウントをOUから削除したり、SCPをアカウントから削除したりすると、他のアカウントに影響を与える可能性があり、セキュリティ上の問題を引き起こす可能性があります。