한 조직에서 AWS Organizations와 서비스 제어 정책(SCP)을 사용합니다. 현재 루트 SCP에는 Amazon Simple Email Service(Amazon SES)에 영향을 미치는 제한이 포함되어 있습니다. 개발자는 ses:* 작업을 허용하는 IAM 정책이 있는 그룹에 속해 있습니다. 해당 계정은 SES를 허용하는 SCP가 있는 OU에 있습니다. 개발자가 AWS Management Console에서 SES에 액세스할 때 권한 없음 오류가 발생합니다. 개발자가 SES에 액세스할 수 있도록 보안 엔지니어가 수행해야 하는 변경 사항은 무엇입니까?

정답은 "루트 SCP에서 Amazon SES 제한을 제거합니다"입니다. SCP는 명시적 거부(explicit deny)가 명시적 허용(explicit allow)보다 우선합니다. 루트 SCP에 SES에 대한 제한이 있다면, 아무리 하위 OU의 SCP나 IAM 정책에서 SES 접근을 허용하더라도 해당 제한이 적용되어 개발자는 SES에 접근할 수 없습니다. 따라서 개발자가 SES에 접근할 수 있도록 하려면 루트 SCP에서 SES 제한을 제거해야 합니다. 다른 옵션들은 다음과 같은 이유로 올바르지 않습니다. 리소스 기반 정책 추가: SCP의 명시적 거부가 IAM 정책이나 리소스 기반 정책보다 우선하므로 효과가 없습니다. AWS Control Tower 가드레일 제거: 문제에서 AWS Control Tower를 사용한다는 언급이 없으며, SCP가 이미 제한을 설정하고 있으므로 가드레일 제거가 직접적인 해결책이 아닙니다.