Migración de una cuenta de miembro de AWS de AWS Organizations a AWS Control Tower

Compruebe que la cuenta de miembro pueda funcionar como una cuenta independiente.

Confirme que la cuenta de miembro que abandonará la organización de origen tenga la información necesaria para funcionar como una cuenta independiente. Por ejemplo, si la cuenta del miembro no tiene información de facturación, no podrá operar como una cuenta independiente, ya que AWS usa la información de pago para cargar cualquier actividad de AWS facturable que se produzca mientras la cuenta no esté vinculada a una organización.

Generalmente, cuando crea una cuenta miembro en la consola AWS Organizations, la API o los comandos de la interfaz de la línea de comandos (CLI) de AWS, no se recopila toda la información necesaria para las cuentas independientes de manera automática. Para añadir esta información, inicie sesión en la cuenta y especifique un plan de soporte, información de contacto y un método de pago.

Para obtener más información sobre lo que necesita saber antes de eliminar una cuenta de una organización, consulte Antes de eliminar una cuenta de la organización en la documentación de AWS Organizations.

Elimine la cuenta de miembro de la organización de origen.

Siga las instrucciones de la documentación de AWS Organizations para eliminar una cuenta de miembro de una organización. Puede iniciar sesión en la cuenta de administración de la organización y eliminar la cuenta de miembro, o iniciar sesión en la cuenta de miembro y salir de la organización.

Si no tiene credenciales de administrador para eliminar o abandonar la cuenta, solicite ayuda al administrador de su organización.

Si a la cuenta de miembro le falta un plan de asistencia, información de contacto o información de pago, se le pedirá que proporcione y verifique esa información.

Cuando deje la organización, se le redirigirá a la página Introducción de la consola de AWS Organizations, donde podrá ver las invitaciones pendientes de su cuenta para unirse a otras organizaciones.

Importante: desde este momento, su cuenta es una cuenta independiente. Si ejecuta cargas de trabajo no cubiertas por el nivel gratuito de AWS, se le cobrará según la información de pago y facturación que haya proporcionado para la cuenta.

Compruebe que la cuenta de miembro ya no forma parte de la organización de origen.

En la consola de AWS Organizations, ya no debería ver el botón Abandonar la organización. En su lugar, debería ver las invitaciones pendientes, si las hay, de otras organizaciones.

Elimine los roles de IAM que conceden acceso a su cuenta de la organización que ha dejado.

Al eliminar la cuenta de la organización de origen, las funciones de AWS Identity and Access Management (IAM) creadas por AWS Organizations o por los administradores no se eliminarán automáticamente. Si desea eliminar este acceso desde la cuenta de administración anterior de la organización, debe eliminar los roles de IAM manualmente. Para obtener más información, consulte Eliminación de roles o perfiles de instancia en la documentación de IAM.

Cuando una cuenta miembro abandona una organización, se eliminan todas las etiquetas asociadas a la cuenta. Las cuentas independientes no admiten etiquetas.

Inicie sesión en AWS Control Tower.

Inicie sesión en la consola de AWS Control Tower como administrador. 

Actualmente, no existe una forma directa de pasar una cuenta de AWS de una organización de origen a una organización de una OU gobernada por AWS Control Tower. Sin embargo, puede ampliar la gobernanza de AWS Control Tower a una cuenta de AWS existente al inscribirla en una OU que ya esté gobernada por AWS Control Tower. Por ello, debe iniciar sesión en AWS Control Tower para realizar este paso.

Invitar la cuenta miembro.

Importante: compruebe que la transferencia de la cuenta no afectará a ninguna aplicación ni a la conectividad de red.

Esta acción envía un correo electrónico de invitación con un enlace a la cuenta de miembro. Cuando el administrador de la cuenta sigue el enlace y acepta la invitación, la cuenta del miembro aparece en la página de Cuentas de AWS. Para obtener más información, consulte Invitar una cuenta de AWS a unirse a su organización. en la documentación de AWS Organizations.

Pruebe las aplicaciones y la conectividad.

Cuando la cuenta del miembro se haya registrado en la nueva organización, aparecerá en la OU dentro de una raíz. También aparecerá en la consola de AWS Control Tower marcada como no incluida en ninguna cuenta, ya que aún no se ha inscrito en la OU registrada de AWS Control Tower.

Compruebe lo siguiente:

Revise las barreras de protección y corrija cualquier infracción.

Revise las barreras de protección definidas en la OU de destino, especialmente las barreras preventivas, y corrija cualquier posible infracción. 

Al configurar la zona de aterrizaje de AWS Control Tower, se habilitan de forma predeterminada varias barreras de protección obligatorias y preventivas. Estas barreras no se pueden desactivar. Deberá revisarlas y reparar la cuenta de miembro (manualmente o mediante un script) antes de inscribirla.

Nota: Las barreras de protección preventivas mantienen el cumplimiento de las cuentas registradas de AWS Control Tower y evitan el incumplimiento de las políticas. Cualquier infracción de las barreras de protección preventivas podría afectar a la inclusión. Si se detectan, las infracciones de las barreras de protección aparecerán en el panel de AWS Control Tower tras la correcta inclusión de la cuenta. No afectarán al proceso de inscripción. Para obtener más información, consulte barrera de protección en AWS Control Tower en la documentación de AWS.

Compruebe si hay problemas de conectividad después de corregir las infracciones de las barreras de protección.

En algunos casos, es posible que tenga que cerrar puertos específicos o desactivar servicios para corregir las infracciones de barreras de protección. Asegúrese de corregir las aplicaciones que usan esos puertos y servicios antes de inscribir la cuenta.

Inicie sesión en la consola de AWS Control Tower.

Use credenciales de inicio de sesión con permisos administrativos para AWS Control Tower. No use las credenciales del usuario raíz (cuenta de administración) para inscribir una cuenta de AWS Organizations. Aparecerá un mensaje de error.

Inscriba la cuenta.

Para obtener más información, consulte Inscribir una cuenta existente en la documentación de AWS Control Tower.

Verifique la cuenta.

En AWS Control Tower, elija Cuentas. La cuenta que acaba de inscribir tendrá el estado inicial Inscribiendo. Cuando se complete la inscripción, su estado cambiará a Inscrito.

Compruebe si hay infracciones de barreras de protección.

Las barreras de protección definidas en la OU se aplicarán automáticamente a la cuenta del miembro inscrito. Supervise el panel de control de AWS Control Tower para detectar posibles infracciones y corríjalas en consecuencia. Para obtener más información, consulte barrera de protección en AWS Control Tower en la documentación de AWS.