Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Résolution des problèmes

Si vous rencontrez des problèmes lors de l'utilisation d'AWS Control Tower, vous pouvez utiliser les informations suivantes pour les résoudre conformément à nos meilleures pratiques. Si les problèmes que vous rencontrez ne sont pas couverts par les informations suivantes, ou s'ils persistent après avoir essayé de les résoudre, contactez le AWS support.

Échec de lancement de la zone de destination

Causes courantes d'échec du lancement de la zone de destination :

E-mails de confirmation  : si votre compte de gestion date de moins d'une heure, vous pouvez rencontrer des problèmes lors de la création des comptes supplémentaires.

Action à exécuter

Si vous rencontrez ce problème, vérifiez votre e-mail. Vous avez peut-être reçu un e-mail de confirmation qui est en attente de réponse. Sinon, nous vous recommandons d'attendre une heure, puis de réessayer. Si le problème persiste, contactez le AWS support.

Échec StackSets  : une autre cause possible de l'échec du lancement dans la zone d'atterrissage est CloudFormation StackSet l'échec. AWS Les régions Security Token Service (STS) doivent être activées dans le compte de gestion pour toutes les AWS régions gérées par AWS Control Tower, afin que le provisionnement soit réussi ; sinon, les stack sets ne pourront pas être lancés.

Action à exécuter

Assurez-vous d'activer toutes les régions de point de terminaison du AWS Security Token Service (STS) requises avant de lancer AWS Control Tower.

Pour corriger les ensembles de piles défaillants et réessayer la configuration

Pour consulter la liste des fonctionnalités Régions AWS prises en charge par AWS Control Tower, consultezComment ? AWS Les régions travaillent avec AWS Control Tower.

Échec de la mise à jour de la zone d'atterrissage en raison d'

La cause la plus fréquente d'échec de la mise à jour de la zone d'atterrissage est une politique AWS KMS clé non valide.

Les raisons courantes d'une politique de clé KMS non valide sont les suivantes :

Action à exécuter

Passez en revue votre politique pour vérifier la présence de ces erreurs.

Pour plus d'informations sur les politiques AWS KMS clés, voir Configuration des clés KMS et conditions préalables à la sauvegarde.

Impossible de mettre à jour la zone d'atterrissage

AWS Control Tower ne revient pas à une version précédente de la zone d'atterrissage en cas d'échec d'une mise à jour. Il se peut que votre zone d'atterrissage soit dans un état indéterminé. Si c'est le cas, contactez AWS le support.

Les mises à jour des zones d'atterrissage peuvent échouer pour plusieurs raisons.

Les prérequis ne sont pas remplis

Une mise à jour de zone d'atterrissage doit répondre aux mêmes prérequis qu'une configuration de zone d'atterrissage. Avant de procéder à la mise à jour, passez en revue les vérifications https://docs.aws.amazon.com/controltower/latest/userguide/getting-started-prereqs.html préalables au lancement.

AWS Config des ressources existent dans les comptes Security OU

N'ajoutez pas de AWS Config ressources dans vos comptes d'archivage d'audit et de journalisation. Le processus de mise à jour de la zone d'atterrissage ne peut pas être terminé en présence de ces ressources. Ces restrictions sont similaires à celles applicables à la création d'un compte ou à la création d'une zone d'atterrissage pour la première fois. Pour plus d'informations, voir Inscrire des comptes qui disposent de AWS Config ressources existantes.

Des comptes fermés existent

Lorsqu'un compte est fermé ou suspendu, il se peut que vous rencontriez un problème lorsque vous tentez de mettre à jour votre zone d'accueil. Vous devez supprimer le produit provisionné sur chaque compte fermé avant d'effectuer une mise à jour de la zone de destination.

Sur la page du produit AWS Service Catalog provisionné, vous pouvez voir un message d'erreur similaire à celui-ci :

AWSControlTowerExecution role can't be assumed on the account.

Cause fréquente : vous avez suspendu un compte sans supprimer le produit provisionné.

Action à effectuer : Si cette erreur s'affiche, deux options s'offrent à vous :

Erreur « zone d'atterrissage non mise à jour »

Si vous n'avez pas mis à jour votre zone d'atterrissage récemment, il est possible que vous receviez un message d'erreur lorsque vous tenterez de retrouver l'accès à AWS Control Tower. Un message d'erreur similaire à celui-ci peut s'afficher :

Unable to access Control Tower

Votre compte est inactif depuis trop longtemps. En raison de l'inactivité, vous devez mettre à jour votre zone d'atterrissage pour accéder à AWS Control Tower.

Cependant, la mise à jour de votre zone d'atterrissage peut échouer.

Étapes à suivre

Connectez-vous au compte de gestion de votre organisation et connectez-vous en tant qu'utilisateur root. Votre utilisateur IAM ou utilisateur dans IAM Identity Center doit disposer des autorisations d'administrateur AWS Control Tower et faire partie du AWSControlTowerAdmins groupe. Réessayez ensuite la mise à jour.

Échec du provisionnement du nouveau compte

Si vous rencontrez ce problème, recherchez parmi les causes les plus courantes.

Réessayez de provisionner votre compte, sans spécifier aucune de ces options. Pour de plus amples informations, veuillez consulter Provisionnez des comptes dans la console Service Catalog, avec Account Factory.

Si le provisionnement de votre compte prend plus d'une heure, il est préférable de mettre fin au processus de provisionnement et de réessayer.

Échec de l'inscription d'un compte existant

Si vous essayez une fois d'inscrire un AWS compte existant et que cette inscription échoue, lors de la deuxième tentative, le message d'erreur peut vous indiquer que le stack existe. Pour continuer, vous devez supprimer le produit provisionné dans Account Factory.

Si la raison du premier échec d'inscription était que vous aviez oublié de créer le rôle AWSControlTowerExecution dans le compte à l'avance, le message d'erreur que vous recevrez vous demandera à juste titre de créer le rôle. Toutefois, lorsque vous essayez de créer le rôle, vous êtes susceptible de recevoir un autre message d'erreur indiquant qu'AWS Control Tower n'a pas pu le créer. Cette erreur se produit car le processus a été partiellement terminé.

Dans ce cas, vous devez effectuer deux étapes de récupération avant de pouvoir procéder à l'inscription de votre compte existant. Tout d'abord, vous devez résilier le produit provisionné par Account Factory via la AWS Service Catalog console. Ensuite, vous devez utiliser la AWS Organizations console pour déplacer manuellement le compte hors de l'unité d'organisation et le ramener à la racine. Après cela, créez le rôle AWSControlTowerExecution dans le compte, puis remplissez à nouveau le formulaire Inscrire un compte.

Une autre cause possible de l'échec de l'inscription est que le compte dispose de ressources de AWS configuration existantes. Dans ce cas, consultez la section Inscrire des comptes qui disposent de AWS Config ressources existantes pour savoir comment modifier vos ressources existantes.

Impossible de mettre à jour un compte Account Factory

Lorsqu'un compte est dans un état incohérent, il ne peut pas être mis à jour correctement depuis Account Factory ou AWS Service Catalog.

Cas 1 : Vous pouvez rencontrer un message d'erreur similaire à celui-ci :

AWS Control Tower could not baseline VPC in the managed account because of existing resource dependencies.

Cause fréquente : AWS Control Tower supprime toujours le VPC AWS par défaut lors du provisionnement initial. Pour avoir un VPC AWS par défaut dans un compte, vous devez l'ajouter après la création du compte. AWS Control Tower possède son propre VPC par défaut qui remplace le VPC AWS par défaut, sauf si vous configurez Account Factory comme indiqué dans la procédure pas à pas, de sorte qu'AWS Control Tower ne provisionne aucun VPC. Ensuite, le compte n'a pas de VPC. Vous devrez ajouter à nouveau le VPC AWS par défaut si vous souhaitez utiliser celui-ci.

Cependant, AWS Control Tower ne prend pas en charge le VPC AWS par défaut. Si vous en déployez un, le compte entre dans l'état Tainted. Dans cet état, vous ne pouvez pas mettre à jour le compte via AWS Service Catalog.

Action à mettre en œuvre : vous devez supprimer le VPC par défaut que vous avez ajouté, puis vous pourrez mettre à jour le compte.

Cas 2 : vous pouvez voir un message d'erreur similaire à celui-ci :

AWS Control Tower detects that your enrolled account has been moved to a new organizational unit.

Cause fréquente : vous avez tenté de déplacer un compte d'une unité d'organisation enregistrée vers une autre, mais les anciennes règles de AWS configuration sont conservées. Le compte est dans un état incohérent.

Mesures à prendre :

Erreur d'échec qui mentionne AWS Config

Si cette option AWS Config est activée dans n'importe quelle AWS région prise en charge par AWS Control Tower, il est possible que vous receviez un message d'erreur en raison de l'échec de la vérification préalable. Le message peut sembler ne pas expliquer le problème de manière adéquate, en raison d'un comportement sous-jacent de AWS Config.

Cause fréquente : lorsque le AWS Config service est activé sur un AWS compte, il crée un enregistreur de configuration et un canal de diffusion avec une dénomination par défaut. Si vous désactivez le AWS Config service via la console, l'enregistreur de configuration ni le canal de diffusion ne sont supprimés. Vous devez les supprimer via l'interface de ligne de commande ou les modifier pour les utiliser dans AWS Control Tower. Si le AWS Config service est activé dans l'une des régions prises en charge par AWS Control Tower, cela peut entraîner cet échec.

Si le compte dispose de ressources de AWS configuration existantes, voir Inscrire des comptes qui disposent de AWS Config ressources existantes pour obtenir des instructions sur la manière de modifier vos ressources existantes.

Action à entreprendre : supprimez l'enregistreur de configuration et le canal de livraison dans toutes les régions prises en charge. La désactivation de AWS Config ne suffit pas, l'enregistreur de configuration et le canal de diffusion doivent être supprimés à l'aide de la CLI. Après avoir supprimé l'enregistreur de configuration et le canal de diffusion de la CLI, vous pouvez réessayer de lancer AWS Control Tower et d'inscrire le compte.

Si vous êtes en train de déployer un produit provisionné, vous devez le supprimer avant de réessayer. Sinon, un message d'erreur similaire à celui-ci peut s'afficher :

Dans le message, Stackname indique le nom de la pile.

Voici quelques exemples de commandes AWS Config CLI que vous pouvez utiliser pour déterminer l'état de votre enregistreur de configuration et de votre canal de diffusion.

Commandes d'affichage :

Commandes de suppression :

Erreur Aucun chemin de lancement trouvé

Lorsque vous essayez de créer un nouveau compte, un message d'erreur similaire à celui-ci peut s'afficher :

No launch paths found for resource: prod-dpqqfywxxxx

Ce message d'erreur est généré par AWS Service Catalog, qui est le service intégré qui permet de provisionner des comptes dans AWS Control Tower.

Causes courantes :

Réception d'une erreur Autorisations insuffisantes

Il est possible que votre compte ne dispose pas des autorisations nécessaires pour effectuer certaines tâches dans certains domaines AWS Organizations. Si vous rencontrez le type d'erreur suivant, vérifiez toutes les zones d'autorisations, telles que les autorisations IAM ou IAM Identity Center, pour vous assurer que votre autorisation n'est pas refusée depuis ces emplacements :

You have insufficient permissions to perform AWS Organizations API actions.

Si vous pensez que votre travail nécessite l'action que vous essayez et que vous ne trouvez aucune restriction pertinente, contactez votre administrateur système ou le AWS support technique.

Les contrôles de détective ne prennent pas effet sur les comptes

Si vous avez récemment étendu le déploiement de votre tour de contrôle AWS à une nouvelle AWS région, les contrôles de détection nouvellement appliqués ne prennent effet sur les nouveaux comptes que vous créez dans aucune région tant que les comptes individuels au sein des unités d'organisation régies par AWS Control Tower ne sont pas mis à jour. Les contrôles de détective existants sur les comptes existants sont toujours en vigueur.

Si vous essayez d'activer un contrôle de détection avant de mettre à jour vos comptes, un message d'erreur similaire à celui-ci peut s'afficher :

AWS Control Tower can't enable the selected control on this OU. AWS Control Tower cannot apply the control on the OU ou-xxx-xxxxxxxx, because child accounts have dependencies that are missing. Update all child accounts under the OU, then try again.

Action à exécuter : mettre à jour les comptes.

Pour mettre à jour vos comptes depuis la console AWS Control Tower, consultezQuand mettre à jour les unités d'organisation et les comptes AWS Control Tower.

Pour mettre à jour plusieurs comptes individuels par programmation, vous pouvez utiliser les API AWS Service Catalog et la AWS CLI pour automatiser les mises à jour. Pour plus d'informations sur l'approche à adopter en matière de mise à jour, consultez cette Vidéo de procédure.  Vous pouvez remplacer l'UpdateProvisionedProductProvisionProductAPI présentée dans la vidéo par l'API.

Si vous rencontrez d'autres difficultés pour activer les contrôles de détection sur vos comptes, contactez le AWS support.

Erreur de dépassement du taux renvoyée par AWS Organizations API

Cause possible

Votre charge de travail était en cours d'exécution alors qu'AWS Control Tower effectuait un scan quotidien pour vérifier si vos SCP n'avaient pas évolué.

Étapes à suivre

Si vous rencontrez une limitation ou une rate exceeded erreur d'API, procédez comme suit :

Un exemple d'instructions de dépannage pour la limitation des API dans Elastic Beanstalk est disponible ici : https://aws.amazon.com/premiumsupport/knowledge-center/elastic-beanstalk-api-throttling-errors/

Impossible de déplacer un compte Account Factory directement d'une zone d'atterrissage AWS Control Tower vers une autre zone d'atterrissage AWS Control Tower

Pour déplacer un compte que vous avez provisionné via Account Factory vers une autre zone d'accueil gérée par AWS Control Tower, sous un autre compte de gestion, vous devez supprimer tous les rôles IAM et les piles associés à ce compte de l'unité d'organisation d'origine. Supprimez ces ressources de chaque région dans laquelle le compte est déployé.

Si vous ne supprimez pas les ressources, l'inscription à la nouvelle unité d'organisation échouera de façon assez spectaculaire. Vous pouvez rencontrer un ou plusieurs messages d'erreur, et vous continuerez à recevoir des messages d'erreur similaires jusqu'à ce que les rôles et les piles restants soient supprimés de chaque région dans laquelle le compte a été déployé.

Chaque fois que vous recevez un message d'erreur, vous devez supprimer le compte de la nouvelle unité d'organisation, supprimer l'ancienne ressource faisant l'objet du message d'erreur, puis tenter de replacer le compte dans la nouvelle unité d'organisation. Ce processus de suppression et de suppression doit être répété pour chaque ressource restante, pour chaque région dans laquelle le compte a été déployé, peut-être 10 ou 20 fois. Ces erreurs répétées se produisent parce que le compte a été provisionné dans une unité d'organisation dotée d'un SCP qui empêche la suppression du rôle IAM. Vous pouvez raccourcir le processus de restauration en supprimant toutes les ressources du compte avant de réessayer.

Les exemples ci-dessous représentent les types de messages d'échec que vous pouvez recevoir s'il reste des rôles et des piles non supprimés. Vous verrez probablement l'un de ces messages à la fois, chaque fois que vous tenterez d'enregistrer le compte, tant que les anciennes ressources restent disponibles.

Les valeurs des chaînes d'ID de ressource ont été modifiées pour les exemples. Leurs valeurs ne seront pas les mêmes dans un message d'erreur que vous pourriez recevoir. Un message similaire aux exemples suivants peut s'afficher :

Ou vous pouvez voir un message d'erreur concernant une défaillance d'un stack set, similaire à celui-ci :

 
"Error\":\"StackSetFailState\",
\"Cause\":\"StackSetOperation on AWSControlTowerBP-BASELINE-CLOUDWATCH 
with id 8aXXXXf5-e0XX-4XXa-bc4XX-dXXXXXee31 
has reached SUCCEEDED state but has 1 NON-CURRENT stack instances; 
here is the summary :{ StackSet Id: 
AWSControlTowerBP-BASELINE-CLOUDWATCH:40XXXbf2-Xead-46a1-XXXa-eXXXXecb2ee2, 
Stack instance Id: 
arn:aws:cloudformation:eu-west-1:1X23456789XX:
            stack/StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-4feXXXXXX-ecXX-XXc6-bXXX-4ae678/4feXXXXXX-ecX-4ae123458, 
Status: OUTDATED, 
Status Reason: ResourceLogicalId:ForwardSnsNotification, 
ResourceType:AWS::Lambda::Function, 
ResourceStatusReason:aws-controltower-NotificationForwarder already exists in stack 
arn:aws:cloudformation:eu-west-1:1X23456789XX:
            stack/StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-4feXXXXXX-ecXX-XXc6-bXXX-4ae678/4feXXXXXX-ecX-4ae123458. 
        

Une fois que toutes les ressources restantes auront été supprimées de la première unité d'organisation, vous pourrez inviter, approvisionner ou inscrire le compte dans la nouvelle unité d'organisation avec succès.

AWS Support

Si vous souhaitez déplacer vos comptes de membres existants vers un autre plan de support, vous pouvez vous connecter à chaque compte avec les informations d'identification du compte racine, comparer les plans et définir le niveau de support que vous préférez.

Nous vous recommandons de mettre à jour les contacts MFA et de sécurité des comptes lorsque vous apportez des modifications à votre plan de support.