Comment résoudre l'erreur « 554 Access denied » lorsque j'envoie un e-mail depuis mon utilisateur IAM dans Amazon SES ?

Résolution

Pour résoudre l'erreur « 554 Access denied », procédez comme suit :

1. Ouvrez la console IAM.

2. Dans le volet de navigation, sélectionnez Politiques.

3. Choisissez la flèche à côté de chaque nom de politique associé à l'utilisateur IAM pour développer la vue détaillée de la politique.

4. Assurez-vous que la politique IAM dispose des autorisations nécessaires pour les actions ses:SendEmail et ses:SendRawEmail. 
   L'exemple de politique IAM suivant permet à l'utilisateur IAM d'envoyer des e-mails pour l'adresse e-mail vérifiée et l'identité de domaine :

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ses:SendEmail",
                   "ses:SendRawEmail"
               ],
               "Resource": "*"
           }
       ]
   }

   Dans l'exemple de politique précédent, l'utilisateur IAM a accès à l'envoi d'e-mails à partir de toutes les identités, car l'élément Resource est défini sur « * ». L'élément Resource peut également spécifier un Amazon Resource Name (ARN) pour restreindre l'accès à une région AWS, à un domaine ou à une adresse e-mail. 
   Remarque : s'il n'existe pas de politique IAM, créez-en une afin de vous permettre d'envoyer des e-mails.

5. Vérifiez qu'aucune politique d'autorisation d'envoi n'est associée à l'adresse e-mail ou au domaine qui empêche l'utilisateur IAM d'envoyer des e-mails. Si vous avez vérifié l'identité de l'adresse e-mail séparément de l'identité du domaine, la politique d'autorisation doit autoriser l'utilisateur IAM à envoyer des e-mails. Pour plus d’informations, consultez la section Création et vérification d'identités dans Amazon SES.

6. Si vous utilisez AWS Organizations, examinez les politiques de contrôle des services (SCP). Assurez-vous que les SCP ne contiennent aucune instruction refusant explicitement les actions ses:SendEmail et ses:SendRawEmail ou toute autre action Amazon SES. Supprimez les SCP qui refusent explicitement les actions d'Amazon SES conformément aux politiques de sécurité de votre organisation.
   L'exemple de politique suivant refuse l'accès à toutes les actions Amazon SES :

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Deny",
               "Action": "ses:*",
               "Resource": "*"
           }
       ]
   }

   Remarque : les informations d'identification SMTP (Simple Mail Transfer Protocol) Amazon SES sont uniques à chaque compte AWS et spécifiques à une région.

Informations connexes

Gestion des identités et des accès dans Amazon SES

Comment résoudre les erreurs 554 ou 400 « Message rejected » d'Amazon SES ?

Problèmes liés au protocole SMTP Amazon SES