用途：引导开发者从空 AWS 账户出发，完成基于域名的 Amazon SES 邮件发送配置，直到收件箱收到一封真实且通过认证的邮件，并在 AWS 批准后进入生产发送。
主要能力：读取账户与身份状态后再操作，仅补齐缺失的域名配置；域名身份设置与 DKIM 排障；可选首次测试发送；申请生产访问（须在域名配置完成且用户明确同意后）；诊断 MessageRejected: Email address is not verified；沙箱收件人限制说明。建议配合 AWS MCP Server（带 SES 权限，提供沙箱执行与 CloudTrail 审计日志），否则全部操作使用 aws sesv2 ... 的 AWS CLI 语法。
使用方式与关键规则：必须使用 SES v2 API（aws sesv2 ...），不得用 v1 的 aws ses ...，否则错误静默且缺少生产访问申请、DKIM 与 MAIL FROM 单次读取等能力。缺失输入应一次性集中询问，且只问所需项；域名与 MAIL FROM 子域已给出时视为完整请求，直接读状态执行。Region 解析顺序：用户指定、AWS_REGION、AWS_DEFAULT_REGION、aws configure get region（命名 profile 时加 --profile）；变更前须说明解析出的 Region，并用 aws sts get-caller-identity 报告账户与主体。请求负载须以行内 JSON 字符串传给 CLI，不得用 file:// 路径。每步先读当前状态并跳过已完成项；不在身份已存在时调用 create-email-identity，DkimAttributes.Status 为 SUCCESS 时不重跑 DKIM 初始化。域名配置完成须同时满足 VerifiedForSendingStatus 为 true、DkimAttributes.Status 为 SUCCESS、MailFromAttributes.MailFromDomainStatus 为 SUCCESS。沙箱中 ProductionAccessEnabled 为 false 时仅能发给已验证邮箱地址或域名，或 SES 邮箱模拟器。所有替换值须先校验再按上下文引用，含引号、反引号、$、;、反斜杠或空白即拒绝。IAM 仅授予实际调用动作并按身份 ARN 限定，不使用通配符；Route 53 区域权限用裸 zone ID。安全上使用 STS 临时凭证，设置生产访问同意、发送确认与 DNS 写入三道关卡；不记录邮件正文与收件人列表；敏感凭据存入 Secrets Manager 或 Parameter Store；启用 CloudTrail 并使用 KMS 加密。限制：默认投递 TLS 为机会式，强制 TLS 需配置集且不在本技能范围；具体配额与价格资料未提供。