AWS SES跨AWS组织迁移Verified identities的可行方案咨询

是否支持直接迁移？ #

AWS目前没有提供原生的跨AWS组织直接迁移SES已验证身份的功能，所有已完成验证的域名、邮箱地址身份，都无法直接从原组织的账号导出、复制到另一个组织的账号下直接生效。

可落地的替代实现方案 #

你可以根据要迁移的身份类型，选择对应方式完成迁移：

1. 已验证域名的迁移 #

• 在目标组织的目标AWS账号SES控制台中，重新添加需要迁移的域名作为待验证身份
• 记录新账号生成的DKIM记录、域名所有权验证TXT记录值
• 到域名所属的DNS解析服务商处，删除原AWS组织账号对应的旧SES验证解析记录，替换为新账号生成的解析记录；如果需要两个组织的SES账号同时使用该域名发信，也可以同时保留两套验证解析记录，无需删除旧记录
• 等待DNS记录生效后，SES会自动完成域名验证，验证成功后该域名即可在新组织账号下正常使用

2. 已验证单个邮箱地址的迁移 #

• 单个邮箱地址的验证状态和账号强绑定，无法复用原验证结果，需要在目标组织的SES账号中重新添加待验证的邮箱地址
• AWS会自动向对应邮箱发送验证邮件，点击邮件内的验证链接即可完成新账号下的身份验证

3. 批量迁移自动化方案 #

如果需要迁移的身份数量较多，可以通过AWS CLI或SDK编写脚本简化操作：

• 在源账号中执行aws ses list-identities命令导出所有已验证身份列表
• 过滤区分域名类和邮箱地址类两类身份
• 编写脚本调用目标账号的aws ses verify-domain-identity、aws ses verify-email-identity接口批量创建待验证身份
• 域名类身份可以批量导出新的DKIM/验证记录后统一配置DNS，邮箱类身份触发批量验证邮件即可

注意：跨组织迁移完成后，原SES身份的关联配置（包括反馈通知设置、邮件流规则、自定义MAIL FROM配置等）都需要在新账号中重新配置，无法直接同步。

内容的提问来源于stack exchange，提问作者Jeeva Jeeva