AWS 控制塔将账户移动到新的 OU 失败

Question

我曾经有一个 OU 让我们用帐户 prod 和 ss 调用 x，然后我创建了一个新的 OU 让 y 调用它。

现在我正在尝试将 prod 和 ss 从 OU x 移动到 OU y。然而，这一直失败。当我尝试重新注册 OU 以确定这是否会解决它时，我收到以下错误：

Check the external resources that apply to y
and its member accounts. Choose Register OU again after the external resources are repaired.

在某个时候，我下载了包含以下信息的预检表：

Add the IAM user to the AWS Service Catalog portfolio before registering your OU.

我进入服务目录并将自己添加为 IAM 用户，但问题仍然存在。 我该如何解决这个问题？

Answer 1

我遇到了同样的错误，最终原因是我在 AWS 管理账户中以 root 身份登录。这会阻止 OU 在 Control Tower 中注册，并阻止注册相应的帐户。

我以 root 身份退出。当我再次登录时，这次使用具有管理员访问权限的 AWS 用户帐户，我能够正确注册 OU。

这可能会失败还有其他原因。 AWS 文档在documentation 中强调了以下“注册失败的常见原因”。

• 您的 IAM 委托人可能缺乏配置帐户所需的权限。要注册现有账户，AWSControlTowerExecution 角色必须存在于您正在注册的账户中。

• AWS Security Token Service (AWS STS) 在您所在区域或 AWS Control Tower 支持的任何区域的 AWS 账户中被禁用。

• 您可能登录到需要添加到 AWS Service Catalog 中的 Account Factory Portfolio 的账户。必须先添加账户，然后您才能访问账户工厂，以便您可以在 AWS Control Tower 中创建或注册账户。如果未将相应的用户或角色添加到 Account Factory Portfolio，您将在尝试添加帐户时收到错误消息。

• 您可以以 root 身份登录。

• 您尝试注册的账户可能有剩余的 AWS Config 设置。特别是，该账户不得有配置记录器或交付通道，因此必须先通过 AWS CLI 删除它们，然后才能注册账户。

• 如果该账户属于另一个拥有主账户的 OU，包括另一个 AWS Control Tower OU，您必须在其当前 OU 中终止该账户，然后才能加入另一个 OU。必须删除原始 OU 中的现有资源。否则，注册将失败。

正如我所说，就我而言，这是第四个原因：我以 root 身份登录。