Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Resolución de problemas

Si tiene problemas al utilizar AWS Control Tower, puede usar la siguiente información para resolverlos según nuestras prácticas recomendadas. Si los problemas que se le presenten quedan fuera del ámbito de la siguiente información o continúan después de haber intentado resolverlos, póngase en contacto con AWS Support.

Error de lanzamiento de Landing Zone

Causas comunes de fallo en el lanzamiento de la zona de inicio:

Mensajes de email de confirmación: si la cuenta de administración tiene una antigüedad de menos de una hora, es posible que tenga problemas al crear cuentas adicionales.

Acción que debe ejecutarse

Si se produce este problema, compruebe su correo electrónico. Es posible que se le haya enviado un correo electrónico de confirmación que está a la espera de respuesta. También le recomendamos que espere una hora y, a continuación, vuelva a intentarlo. Si el problema continúa, póngase en contacto con AWS Support.

Fallo StackSets: otra posible causa del fracaso en el lanzamiento de la zona de aterrizaje es el CloudFormation StackSet fracaso. AWS Las regiones del Security Token Service (STS) deben estar habilitadas en la cuenta de administración de todas AWS las regiones que controla AWS Control Tower para que el aprovisionamiento se lleve a cabo correctamente; de lo contrario, los conjuntos de pilas no se lanzarán.

Acción que debe ejecutarse

Asegúrese de habilitar todas las regiones de punto final del AWS Security Token Service (STS) que necesite antes de lanzar AWS Control Tower.

Para corregir los conjuntos de pilas fallidos y volver a intentar la configuración

Para ver una lista de los Regiones de AWS productos compatibles con AWS Control Tower, consulteCómo AWS Las regiones trabajan con AWS Control Tower.

Fallo de actualización de la zona de aterrizaje con error de KMS

La causa más común de un error en la actualización de la zona de aterrizaje es una política AWS KMS clave que no es válida.

Motivos habituales por los que una política de claves de KMS no es válida:

Acción que debe ejecutarse

Revise la política para comprobar si se encuentran estos errores.

Para obtener más información sobre las políticas de AWS KMS claves, consulte Configurar las claves de KMS y los requisitos previos https://docs.aws.amazon.com/controltower/latest/userguide/backup-prerequisites.html de respaldo.

Error al actualizar la zona de aterrizaje

AWS Control Tower no revierte a una versión anterior de la zona de aterrizaje si se produce un error en una actualización. Es posible que encuentre la zona de aterrizaje en un estado indeterminado. Si es así, ponte en contacto con el servicio de AWS asistencia.

Las actualizaciones de las zonas de aterrizaje pueden generar un error por varios motivos.

No se han cumplido los requisitos previos

La actualización de una zona de aterrizaje debe cumplir los mismos requisitos previos que la configuración de una zona de aterrizaje. Antes de realizar la actualización, revise las comprobaciones previas al lanzamiento.

AWS Config existen recursos en las cuentas de Security OU

No añada AWS Config recursos a sus cuentas de archivo de auditoría y registro. El proceso de actualización de la zona de aterrizaje no puede completarse con estos recursos presentes. Estas restricciones son similares a las que se aplican al inscribir una cuenta o configurar una zona de aterrizaje por primera vez. Para obtener más información, consulte Inscribir cuentas que tengan AWS Config recursos existentes.

Existen cuentas cerradas

Cuando una cuenta se encuentra en estado Cerrado o Suspendido, es posible que se produzca un problema al intentar actualizar la zona de aterrizaje. Debe eliminar el producto aprovisionado en todas las cuentas cerradas antes de realizar una actualización en la zona de aterrizaje.

En la página del producto AWS Service Catalog aprovisionado, es posible que veas un mensaje de error similar al siguiente:

AWSControlTowerExecution role can't be assumed on the account.

Causa habitual: ha suspendido una cuenta sin eliminar el producto aprovisionado.

Acción a que debe ejecutarse: si aparece este error, tiene dos opciones:

Error de zona de aterrizaje no actualizada

Si no ha actualizado la zona de aterrizaje recientemente, es posible que reciba un mensaje de error al intentar recuperar el acceso a AWS Control Tower. Puede ver un mensaje de error similar al siguiente:

Unable to access Control Tower

La cuenta ha estado inactiva durante demasiado tiempo. Debido a la inactividad, debe actualizar la zona de aterrizaje para poder acceder a AWS Control Tower.

Sin embargo, la actualización de la zona de aterrizaje puede dar error.

Pasos a seguir

Inicie sesión como usuario raíz en la cuenta de administración de su organización. Su usuario de IAM o el usuario de IAM Identity Center deben tener permisos de administrador de AWS Control Tower y formar parte del AWSControlTowerAdmins grupo. A continuación, intente la actualización de nuevo.

Error en el nuevo aprovisionamiento de cuentas

Si se produce este problema, compruebe estas causas comunes.

Vuelva a intentar el aprovisionamiento de su cuenta, sin especificar ninguna de esas opciones. Para obtener más información, consulte Aprovisione cuentas en la consola de Service Catalog con Account Factory..

Si el aprovisionamiento de cuentas tarda más de una hora, lo mejor es finalizar el proceso de aprovisionamiento e intentarlo de nuevo.

Error al inscribir una cuenta existente

Si intentas inscribir una AWS cuenta existente una vez y la inscripción falla, cuando lo intentes por segunda vez, el mensaje de error puede indicarte que el conjunto de pilas existe. Para continuar, debe quitar el producto aprovisionado en Account Factory.

Si el motivo del primer error de inscripción fue que olvidó crear el rol AWSControlTowerExecution en la cuenta de antemano, el mensaje de error que recibirá correctamente le indicará que cree el rol. Sin embargo, cuando intenta crear el rol, es probable que reciba otro mensaje de error que indica que AWS Control Tower no ha podido crear el rol. Este error se produce porque el proceso se ha completado parcialmente.

En este caso, debe realizar dos pasos de recuperación antes de poder continuar con la inscripción de su cuenta existente. En primer lugar, debes cancelar el producto aprovisionado por Account Factory a través de la AWS Service Catalog consola. A continuación, debe utilizar la consola de AWS Organizations para sacar manualmente la cuenta de la unidad organizativa y volver a la raíz. Una vez hecho esto, cree el rol AWSControlTowerExecution en la cuenta y, a continuación, rellene de nuevo el formulario Enroll account (Inscribir cuenta).

Otra posible causa del error de inscripción es que la cuenta tiene recursos existentes de AWS Config. En ese caso, consulta el artículo Inscribir cuentas que tienen AWS Config recursos existentes para obtener instrucciones sobre cómo modificar los recursos existentes.

No se puede actualizar una cuenta de Account Factory

Cuando una cuenta está en un estado incoherente, no se puede actualizar correctamente desde Account Factory o AWS Service Catalog.

Caso 1: Es posible que encuentre un mensaje de error similar a este:

AWS Control Tower could not baseline VPC in the managed account because of existing resource dependencies.

Causa común: AWS Control Tower siempre elimina la VPC AWS predeterminada durante el aprovisionamiento inicial. Para tener una VPC AWS predeterminada en una cuenta, debe agregarla después de crearla. AWS Control Tower tiene su propia VPC predeterminada que reemplaza a la VPC predeterminada de AWS , a menos que configure el generador de cuentas de la manera que se muestra en la explicación, de modo que AWS Control Tower no aprovisione ninguna VPC en absoluto. Entonces la cuenta no tiene VPC. Tendrás que volver a añadir la VPC AWS predeterminada si quieres usarla.

Sin embargo, AWS Control Tower no admite la VPC AWS predeterminada. La implementación de una hace que la cuenta entre en estado Tainted. Cuando está en ese estado, no puede actualizar la cuenta mediante AWS Service Catalog ella.

Medida a seguir: debe eliminar la VPC predeterminada que agregó y, a continuación, podrá actualizar la cuenta.

Caso 2: Puede ver un mensaje de error similar al siguiente:

AWS Control Tower detects that your enrolled account has been moved to a new organizational unit.

Causa común: intentaste mover una cuenta de una unidad organizativa registrada a otra, pero las reglas de AWS configuración antiguas se mantienen. La cuenta se encuentra en un estado incoherente.

Acción que debe ejecutarse:

Error: error que menciona AWS Config

Si AWS Config está activado en alguna AWS región admitida por AWS Control Tower, es posible que reciba un mensaje de error porque no se ha realizado una comprobación previa. Es posible que el mensaje no parezca explicar el problema de manera adecuada, debido a algún comportamiento subyacente de AWS Config.

Causa común: cuando el AWS Config servicio está habilitado en una AWS cuenta, crea un registrador de configuración y un canal de entrega con un nombre predeterminado. Si inhabilitas el AWS Config servicio a través de la consola, no se borra el registrador de configuración ni el canal de entrega. Debe eliminarlos a través de la CLI o modificarlos para utilizarlos en AWS Control Tower. Si el AWS Config servicio está habilitado en alguna de las regiones admitidas por AWS Control Tower, puede producirse este error.

Si la cuenta ya tiene recursos de AWS configuración, consulte Inscribir cuentas que tengan AWS Config recursos existentes para obtener instrucciones sobre cómo modificar los recursos existentes.

Acción: elimine el grabador de configuración y el canal de entrega en todas las regiones compatibles. No basta con deshabilitar AWS Config; el grabador de configuración y el canal de entrega deben eliminarse mediante la CLI. Después de eliminar el grabador de configuración y el canal de entrega desde la CLI, puede intentar lanzar de nuevo AWS Control Tower e inscribir la cuenta.

Si se encuentra en proceso de implementar un producto aprovisionado, debe eliminarlo antes de volver a intentarlo. De lo contrario, puede ver un mensaje de error similar al siguiente:

En el mensaje, Stackname especifica el nombre de la pila.

Estos son algunos ejemplos de comandos de la AWS Config CLI que puede usar para determinar el estado del registrador de configuración y del canal de entrega.

Comandos de visualización:

Comandos de eliminación:

Error: no se encontraron rutas de lanzamiento

Cuando intente crear una cuenta nueva, es posible que aparezca un mensaje de error similar al siguiente:

No launch paths found for resource: prod-dpqqfywxxxx

Este mensaje de error lo genera AWS Service Catalog, que es el servicio integrado que ayuda a aprovisionar las cuentas en AWS Control Tower.

Causas comunes:

Se ha recibido un error de permisos insuficientes

Es posible que su cuenta no tenga los permisos necesarios para realizar ciertos trabajos en determinadas organizaciones de AWS Organizations. Si encuentra el siguiente tipo de error, compruebe todas las áreas de permisos, como los permisos de IAM o IAM Identity Center, para asegurarse de que no se está denegando su permiso desde esos lugares:

You have insufficient permissions to perform AWS Organizations API actions.

Si cree que su trabajo requiere la acción que está intentando, y no puede localizar ninguna restricción relevante, póngase en contacto con el administrador del sistema o con AWS Support.

Los controles de detección no están teniendo efecto en las cuentas

Si ha ampliado recientemente su implementación de AWS Control Tower a una nueva AWS región, los controles de detección recién aplicados no se aplicarán a las cuentas nuevas que cree en ninguna región hasta que se actualicen las cuentas individuales de las unidades organizativas controladas por AWS Control Tower. Los contoles de detección existentes en las cuentas existentes todavía están en vigor.

Si intenta habilitar un control de detección antes de actualizar sus cuentas, es posible que aparezca un mensaje de error similar a este:

AWS Control Tower can't enable the selected control on this OU. AWS Control Tower cannot apply the control on the OU ou-xxx-xxxxxxxx, because child accounts have dependencies that are missing. Update all child accounts under the OU, then try again.

Acción que se debe ejecutar: actualizar cuentas.

Para actualizar sus cuentas desde la consola de AWS Control Tower, consulte Cuándo actualizar las OU y las cuentas de AWS Control Tower.

Para actualizar varias cuentas individuales mediante programación, puede utilizar las API AWS Service Catalog y la AWS CLI para automatizar las actualizaciones. Para obtener más información acerca de cómo abordar el proceso de actualización, consulte esto Tutorial en vídeo.  Puedes sustituir la UpdateProvisionedProduct API por la ProvisionProduct que se muestra en el vídeo.

Si tiene más dificultades para habilitar los controles de detección en sus cuentas, póngase en contacto con AWS AWS Support.

Error de tasa superada devuelto por el AWS Organizations API

Causa posible

La carga de trabajo se estaba ejecutando mientras AWS Control Tower realizaba un análisis diario para comprobar si las SCP se han desviado.

Pasos a seguir

Si encuentra una limitación de API o un error de rate exceeded, siga estos pasos:

Puede encontrar un ejemplo de instrucciones para solucionar problemas para la limitación de API en Elastic Beanstalk aquí: https://aws.amazon.com/premiumsupport/knowledge-center/elastic-beanstalk-api-throttling-errors/

Error al mover una cuenta del generador de cuentas directamente de una zona de aterrizaje de AWS Control Tower a otra zona de aterrizaje de AWS Control Tower

Para mover una cuenta que ha aprovisionado a través del generador de cuentas a otra zona de aterrizaje administrada por AWS Control Tower, en otra cuenta de administración, debe eliminar todos los roles de IAM y las pilas asociadas a esa cuenta de la OU original. Elimine estos recursos de todas las regiones en las que esté implementada la cuenta.

Si no elimina los recursos, la inscripción en la nueva OU producirá un error, de forma un tanto espectacular. Es posible que reciba uno o varios mensajes de error y seguirá recibiendo mensajes de error similares hasta que se eliminen los roles y pilas restantes de todas las regiones en las que se implementó la cuenta.

Cada vez que reciba un mensaje de error, deberá eliminar la cuenta de la nueva OU, eliminar el recurso anterior objeto del mensaje de error y, a continuación, intentar volver a mover la cuenta a la nueva OU. Este proceso de eliminación debe repetirse para todos los recursos restantes, para cada región en la que se haya implementado la cuenta, posiblemente 10 o 20 veces. Estos errores repetidos se producen porque la cuenta se aprovisionó en una OU con una SCP que impide la eliminación del rol de IAM. Puede acortar el proceso de recuperación eliminando todos los recursos de la cuenta antes de volver a intentarlo.

Los ejemplos que aparecen a continuación representan los tipos de mensajes de error que puede recibir si se mantienen roles y pilas sin eliminar. Lo más probable es que vea uno de estos mensajes a la vez, por cada vez que intente inscribir la cuenta, siempre y cuando queden recursos antiguos.

Los valores de las cadenas de ID de recurso se han modificado para los ejemplos. Sus valores no serán los mismos en un mensaje de error que pueda recibir. Es posible que vea un mensaje similar al de los siguientes ejemplos:

También puede que vea un mensaje de error sobre un error en un conjunto de pilas, similar a este:

 
"Error\":\"StackSetFailState\",
\"Cause\":\"StackSetOperation on AWSControlTowerBP-BASELINE-CLOUDWATCH 
with id 8aXXXXf5-e0XX-4XXa-bc4XX-dXXXXXee31 
has reached SUCCEEDED state but has 1 NON-CURRENT stack instances; 
here is the summary :{ StackSet Id: 
AWSControlTowerBP-BASELINE-CLOUDWATCH:40XXXbf2-Xead-46a1-XXXa-eXXXXecb2ee2, 
Stack instance Id: 
arn:aws:cloudformation:eu-west-1:1X23456789XX:
            stack/StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-4feXXXXXX-ecXX-XXc6-bXXX-4ae678/4feXXXXXX-ecX-4ae123458, 
Status: OUTDATED, 
Status Reason: ResourceLogicalId:ForwardSnsNotification, 
ResourceType:AWS::Lambda::Function, 
ResourceStatusReason:aws-controltower-NotificationForwarder already exists in stack 
arn:aws:cloudformation:eu-west-1:1X23456789XX:
            stack/StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-4feXXXXXX-ecXX-XXc6-bXXX-4ae678/4feXXXXXX-ecX-4ae123458. 
        

Una vez que se hayan eliminado todos los recursos restantes de la primera OU, podrá invitar, aprovisionar o inscribir correctamente la cuenta en la nueva OU.

AWS Soporte

Si desea trasladar sus cuentas de miembro existentes a otro plan de soporte, puede iniciar sesión en cada cuenta con credenciales de cuenta raíz, comparar planes y establecer el nivel de soporte que prefiera.

Le recomendamos que actualice la MFA y los contactos de seguridad de la cuenta cuando realice cambios en el plan de soporte.