Bir kuruluş, AWS Organizations'ı hizmet kontrol politikaları (SCP'ler) ile kullanmaktadır. Kök SCP şu anda Amazon Simple Email Service'i (Amazon SES) etkileyen bir kısıtlama içermektedir. Geliştiriciler, ses:* eylemlerine izin veren bir IAM politikasına sahip bir gruba aittir. Hesap, SES'e izin veren bir SCP'ye sahip bir OU'dadır. Geliştiriciler, AWS Yönetim Konsolu'nda SES'e erişirken yetkilendirme hatası almaktadır. Geliştiricilerin SES'e erişebilmesi için bir güvenlik mühendisinin hangi değişikliği yapması gerekir?

Doğru cevap, kök SCP'den Amazon SES kısıtlamasını kaldırmaktır. Hizmet kontrol politikaları (SCP'ler), hesaplar için izin verilen maksimum izinleri tanımlar. Bir SCP, bir eylemi açıkça reddederse, hiçbir kullanıcı veya rol bu eylemi gerçekleştiremez, hatta bir IAM politikası bu eyleme izin verse bile. Kök SCP'deki kısıtlama, tüm alt kuruluş birimleri (OU'lar) ve hesaplar için geçerlidir. Geliştiricilerin SES'e erişebilmesi için, kök SCP'deki kısıtlamanın kaldırılması gerekir. Diğer seçenekler yanlıştır: Kaynak tabanlı politikalar, bir IAM kullanıcısı veya rolü için izinleri genişletemez; yalnızca SCP'ler tarafından izin verilen sınırlar dahilinde çalışırlar. AWS Control Tower koruyucuları (guardrails), SCP'ler gibi çalışır, ancak burada sorun doğrudan kök SCP'dedir. Bir OU'daki SCP, kök SCP'nin reddettiği bir eyleme izin veremez.