Amazon SES で本番アクセスが承認された後も "Email address is not verified" のエラーが出る原因を教えてください
困っていること
大阪リージョン（ap-northeast-3）の Amazon Simple Email Service（Amazon SES）で、本番アクセスが承認されました。
AWS CLI コマンドを利用してテストメールを送信すると、次のエラーになりました。
aws: [ERROR]: An error occurred (MessageRejected) when calling the SendEmail operation: Email address is not verified. The following identities failed the check in region AP-NORTHEAST-3: sender@example.com
本番アクセスが承認されれば、検証は不要になると思っていました。なぜ「検証されていない」というエラーになるのか教えてください。
どう対応すればいいの？
本番アクセスで不要になるのは、宛先の検証です。From・Source・Sender・Return-Path に使うアドレスは、本番アクセスが承認された後も、送信するリージョンで検証済みの ID（そのアドレス自体か、そのアドレスのドメイン）である必要があります。
サンドボックスかどうかも、ID の検証も、リージョンごとに管理されています。エラーに表示されているリージョンで、送信元の ID を作成して検証してください。
ID（identity）は、SES で送信元として使うために登録するメールアドレスやドメインです。持ち主であることを検証すると、送信元として使えるようになります。本番アクセスは、送信先を検証済みの ID とメールボックスシミュレーターに限るサンドボックスの制限を解除するものです。
When your account has moved out of the sandbox and into production, you can send email to any recipient, regardless of whether the recipient's address or domain is verified. However, you still have to verify all identities that you use as "From", "Source", "Sender", or "Return-Path" addresses.
同じアドレスやドメインから複数のリージョンで送信するには、リージョンごとに ID を作成して検証します。
To send email from the same domain or email address in more than one AWS Region, you must create and verify a separate identity for each Region.
次の手順で設定してください。
- エラーメッセージの末尾で、
in regionの後のリージョン（例：AP-NORTHEAST-3）と、最後の:の後の ID（例：sender@example.com）を確認します。 - SES のコンソールで、右上のリージョンをエラーのリージョンに切り替え、左のメニューの「設定」→「ID」を開きます。英語のドキュメントでは、このメニューは
IdentitiesまたはVerified identitiesと表記されています。 - 一覧の「ID」の列に、送信元のアドレスもドメインも無い場合は、「ID の作成」から作成します。メールアドレスの ID は、
no-reply-aws@amazon.comから届くメールのリンクを選択すると検証されます（リンクの有効期限は 24 時間です）。ドメインの ID は、コンソールに表示される DKIM の DNS レコードを登録すると検証されます。DNS の変更が反映されるまで、最大 72 時間かかる場合があります。 - 一覧の「ID ステータス」の列で、送信元の ID が検証済みになったことを確認します。
- 同じ送信元からもう一度送信し、エラーが出ないことを確認します。
本番アクセスも、リージョンごとに申請します。送信するリージョンで本番アクセスが有効かどうかは、aws sesv2 get-account --region <リージョン> の出力の ProductionAccessEnabled で確認できます。false の場合は、そのリージョンでも本番アクセスを申請します。サンドボックスのリージョンでは、宛先も検証済みの ID かメールボックスシミュレーターである必要があります。
Indicates whether or not your account has production access in the current AWS Region.
If the value is false, then your account is in the sandbox. When your account is in the sandbox, you can only send email to verified identities.
アプリケーションから送信する場合は、SDK のクライアントに指定したリージョンや、SMTP エンドポイントのリージョンが、ID を検証したリージョンと同じかどうかも確認してください。
注意点として、メールアドレスの ID は大文字と小文字を区別します。sender@EXAMPLE.com を検証しただけでは、sender@example.com からは送信できません。ドメインの ID は、大文字と小文字を区別しません。
確認してみた
本番アクセスを申請していない（サンドボックスの）大阪リージョンで、どのリージョンにも ID を作成していないアドレスを送信元にして、メールボックスシミュレーター宛てに送信しました。結果は冒頭と同様エラーでした。送信元の検証は本番アクセスの有無にかかわらず必要なので、エラーの内容はサンドボックスで確かめました。
