Come posso risolvere un errore "Unauthorized" che ricevo quando invio e-mail in Amazon SES?

Risoluzione

Verifica le autorizzazioni IAM

Per verificare che l'identità AWS Identity and Access Management (AWS IAM) abbia le autorizzazioni corrette per inviare e-mail, completa i seguenti passaggi:

1. Apri la console IAM.

2. Seleziona l'utente o il ruolo IAM utilizzato per inviare e-mail.

3. Seleziona il nome dell'identità IAM che utilizzi per inviare e-mail.

4. Nella scheda Autorizzazioni dell'identità IAM, espandi ogni policy per visualizzare il documento relativo alla policy JSON.

5. Cerca le policy correlate all'accesso ad Amazon SES. Quindi verifica di avere le autorizzazioni per le azioni ses:SendEmail o ses:SendRawEmail.<br id=hardline_break/> Il seguente esempio di policy IAM consente all'identità IAM di inviare e-mail:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ses:SendEmail",
                   "ses:SendRawEmail"
               ],
               "Resource": "*"
           }
       ]
   }

   Nota: se non esiste una policy IAM, creala per concederti l'accesso all'invio di e-mail con il precedente esempio di policy.

Verifica se sono presenti istruzioni di diniego che bloccano l'accesso

Controlla se nelle policy IAM sono presenti eventuali istruzioni di diniego che potrebbero negare l'accesso all'invio di e-mail.

Se sono presenti istruzioni di diniego, rimuovi o modifica le seguenti condizioni che limitano l'accesso:

• ses:Recipients
• ses:FromAddress
• ses:FromDisplayName
• ses:FeedbackAddress
• aws:CurrentTime
• aws:EpochTime
• aws:SecureTransport
• aws:SourceIp
• aws:UserAgent

Verifica che i limiti delle autorizzazioni IAM consentano l'accesso ad Amazon SES

Rivedi i limiti delle autorizzazioni IAM impostati per l'identità IAM che ha tentato di accedere ad Amazon SES. Assicurati che i limiti delle autorizzazioni IAM consentano l'accesso ad Amazon SES. Per ulteriori informazioni, consulta Delega di responsabilità ad altri mediante i limiti delle autorizzazioni.

Verifica che le SCP di AWS Organizations non neghino l'accesso ad Amazon SES

Se utilizzi AWS Organizations, controlla se nella policy di controllo dei servizi (SCP) sono presenti eventuali istruzioni che negano esplicitamente le azioni ses:SendEmail e ses:SendRawEmail. Elimina le SCP che negano esplicitamente le azioni di Amazon SES tenuto conto delle policy di sicurezza dell'organizzazione.

Il seguente esempio di policy nega l'accesso a tutte le azioni di Amazon SES:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ses:*",
            "Resource": "*"
        }
    ]
}

Verifica che la policy di autorizzazione del mittente in Amazon SES conceda le autorizzazioni al mittente delegato

Quando autorizzi altri utenti a inviare e-mail dalle identità che ti appartengono, verifica che la policy di autorizzazione abbia le autorizzazioni corrette. Assicurati che il mittente utilizzi lo stesso endpoint di Amazon SES nella Regione AWS in cui hai verificato l'identità. Devi rimuovere l'account AWS del mittente delegato dalla sandbox prima che possa inviare e-mail a indirizzi non verificati. Per visualizzare, modificare o rimuovere una policy, consulta Gestione delle policy di autorizzazione dell'identità in Amazon SES.