如何在不触发AWS Control Tower漂移的前提下为OU授权QuickSight访问？

问题根源 #

你手动修改了Control Tower托管的SCP（aws-guardrails-oFLbdq），这类托管SCP由Control Tower自动维护，任何手动修改都会触发漂移检测；同时，你后来添加的Allow SCP无效，是因为SCP的评估规则里明确拒绝（Explicit Deny）优先级远高于允许（Allow），托管SCP已经拒绝了QuickSight操作，Allow策略无法覆盖。

正确解决步骤 #

1. 先修复漂移

必须先恢复被修改的托管SCP到原始状态，消除Control Tower的漂移报错：

• 登录Control Tower控制台，进入「漂移」页面，找到对应OU，点击「修复漂移」，Control Tower会自动重新部署原始的托管SCP，覆盖你手动修改的内容。
• 或者直接在AWS Organizations控制台找到该SCP，删除你手动添加的quicksight:*条目，还原到初始版本。

2. 通过Control Tower官方流程创建控制例外

托管SCP对应Control Tower的某条预防性控制（通常是限制未授权服务访问的规则），你需要通过Control Tower的例外功能，让目标OU绕过这条控制：

• 进入Control Tower控制台的「控制库」页面，搜索和aws-guardrails-oFLbdq关联的控制（可通过SCP名称反向查找对应控制）。
• 进入该控制的「例外」标签页，点击「创建例外」，选择目标OU，设置例外生效范围（比如允许该OU下所有账户使用QuickSight）。
• 完成创建后，Control Tower会自动更新对应的SCP，添加条件逻辑让目标OU的账户不受该控制限制，既实现了QuickSight授权，又不会触发漂移——因为这是官方允许的修改流程。

3. 验证权限

在目标OU的任意账户中尝试访问QuickSight，确认操作正常；同时检查Control Tower控制台，漂移报错应该已消失。

补充说明 #

如果你不想用例外功能，也可以创建自定义SCP结合Control Tower的控制逻辑，但核心是必须通过Control Tower的官方流程修改SCP应用范围，绝对不能手动修改托管SCP。

内容的提问来源于stack exchange，提问作者Elliveny