Organizations から AWS Control Tower AWS にAWSメンバーアカウントを移行する

メンバーアカウントがスタンドアロンアカウントとして実行できることを確認します。

ソース組織から離れるメンバーアカウントに、スタンドアロンアカウントとしての運用に必要な情報があることを確認します。例えば、メンバーアカウントに請求情報がない場合、 AWSは支払い情報を使用して、アカウントにアタッチされていない間に発生した請求可能なAWSアクティビティに対して課金するため、スタンドアロンアカウントとして動作できません。

通常、AWSOrganizations コンソール、、APIまたは AWS コマンドラインインターフェイス (CLI) コマンドを使用してメンバーアカウントを作成した場合、スタンドアロンアカウントに必要な情報は自動的に収集されません。この情報を追加するには、アカウントにサインインし、サポートプラン、連絡先情報、支払方法を指定します。

組織からアカウントを削除する前に知っておくべきことの詳細については、AWS「Organizations ドキュメント」の「組織からアカウントを削除する前に」を参照してください。

メンバーアカウントをソース組織から削除します。

AWS Organizations ドキュメントの指示に従って、組織からメンバーアカウントを削除します。組織の管理アカウントにサインインしてメンバーアカウントを削除、またはメンバーアカウントにサインインして組織を離れることもできます。

アカウントを削除または離れる管理者レベルの認証情報がない場合は、組織の管理者に支援を求めてください。

メンバーアカウントにサポートプラン、連絡先情報、または支払情報がない場合は、その情報の提供と確認を求められます。

組織を離れると、AWSOrganizations コンソールの開始方法ページにリダイレクトされ、アカウントが他の組織に参加する招待を表示できます。

重要: この時点では、お使いのアカウントはスタンドアロンアカウントです。AWS 無料利用枠が適用されないワークロードを実行している場合は、アカウントに提供した支払い情報と請求情報に従って課金されます。

メンバーアカウントがソース組織の一部ではなくなったことを確認します。

AWS Organizations コンソールで、組織を離れるボタンが表示されなくなります。代わりに、他の組織からの保留中の招待（ある場合）が表示されるはずです。

アカウントへのアクセスを許可するIAMロールを、残した組織から削除します。

ソース組織からアカウントを削除すると、AWSOrganizations または管理者によって作成された AWS Identity and Access Management (IAM) ロールは自動的に削除されません。ソース組織の管理アカウントからのアクセスを終了するには、IAMロールを手動で削除する必要があります。詳細については、 IAMドキュメントの「ロールまたはインスタンスプロファイルの削除」を参照してください。

メンバーアカウントが組織を離れると、アカウントにアタッチされていたタグはすべて削除されます。スタンドアロンアカウントはタグをサポートしていません。

AWS Control Tower にサインインします。

管理者として AWS Control Tower コンソールにサインインします。 

現在、ソース組織から AWS Control Tower によって管理されている OU 内の組織にAWSアカウントを移動する直接の方法はありません。ただし、AWSControl Tower によって既に管理されている OU に登録するときにAWS、Control Tower ガバナンスを既存のAWSアカウントに拡張できます。そのため、このステップでは AWS Control Tower にログインする必要があります。

メンバーアカウントを招待します。

重要: アカウントの移管によってアプリケーションまたはネットワーク接続が影響を受けないことを確認します。

このアクションで、メンバーアカウントへのリンクを記載した招待メールを送信します。アカウント管理者がリンクに従って招待を受け入れると、メンバーアカウントがAWSアカウントページに表示されます。詳細については、「 Organizations ドキュメント」の「組織に参加するためにAWSアカウントを招待する」を参照してください。 AWS

アプリケーションと接続性をテストします。

メンバーアカウントが新しい組織に登録されると、ルート内の OU に表示されます。また、AWSControl Tower コンソールにも表示され、Control Tower に登録された OU AWS にまだ登録されていないため、アカウントに登録されていないとフラグが付けられます。

以下について確認します。

ガードレールを見直し、違反があれば修正します。

ターゲット OU で定義されているガードレール、特に予防用ガードレールを確認し、違反があれば修正します。 

AWS Control Tower ランディングゾーンを設定すると、いくつかの必須の予防ガードレールがデフォルトで有効になります。これらは無効化できません。アカウントを登録する前に、これらの必須のガードレールを確認し、メンバーアカウントを (手動またはスクリプトを使用して) 修正する必要があります。

注: 予防ガードレールは、AWSControl Tower の登録済みアカウントを準拠させ、ポリシー違反を防止します。予防的ガードレールの違反は登録に影響する可能性があります。検出ガードレール違反は、正常に登録されると AWS Control Tower ダッシュボードに表示されます。登録プロセスには影響しません。詳細については、AWSドキュメントのAWS「Control Tower のガードレール」を参照してください。

ガードレール違反を修正したら、接続の問題を確認します。

場合によっては、ガードレール違反を修正するには、特定のポートを閉じる、またはサービスを無効化する必要があります。アカウントを登録する前に、それらのポートやサービスを使用するアプリケーションが修正されていることを確認します。

AWS Control Tower コンソールにサインインします。

AWS Control Tower の管理権限を持つサインイン認証情報を使用します。AWS Organizations アカウントを登録するために、ルートユーザー (管理アカウント) 認証情報を使用しないでください。エラーメッセージが表示されます。

アカウントを登録します。

詳細については、AWSControl Tower ドキュメントの「既存のアカウントを登録する」を参照してください。

アカウントを検証します。

AWS Control Tower から、アカウント を選択します。登録したばかりのアカウントの初期状態は [Enrolling（登録中）] です。登録が完了すると、状態は [Enrolled（登録済み）] に変わります。

ガードレールの違反がないか確認します。

OUで定義されたガードレールは、登録されたメンバーアカウントに自動的に適用されます。AWS Control Tower ダッシュボードに違反がないかモニタリングし、それに応じて修正します。詳細については、AWSドキュメントのAWS「Control Tower のガードレール」を参照してください。