AWS Service Control Policy（SCP）可用于创建和管理网络访问控制列表（NACL）的访问权限。以下是一个示例SCP，它将允许指定帐户组的用户创建、编辑和删除NACL。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowNACLManagement",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateNetworkAcl",
                "ec2:DeleteNetworkAcl",
                "ec2:UpdateNetworkAcl",
                "ec2:ReplaceNetworkAclAssociation",
                "ec2:ReplaceNetworkAclEntry"
            ],
            "Resource": [
                "arn:aws:ec2:region:account-id:network-acl/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalAccount": [
                        "111111111111",
                        "222222222222"
                    ]
                }
            }
        }
    ]
}

在此示例SCP中，“AllowNACLManagement”语句允许指定帐户组的用户执行ec2：CreateNetworkAcl、ec2：DeleteNetworkAcl、ec2：UpdateNetworkAcl、ec2：ReplaceNetworkAclAssociation和ec2：ReplaceNetworkAclEntry操作。这些操作仅限于处理属于特定AWS帐户的NACL，因为资源ARN中指定了“账户-id”。要使用此SCP，请将您的AWS帐户ID和要授权的帐户组的AWS帐户ID替换为示例中的值。