AWS Organizations から AWS Control Tower にAWSメンバーアカウントを移行する

メンバーアカウントがスタンドアロンアカウントとして実行できることを確認します。

ソース組織から離れるメンバーアカウントに、スタンドアロンアカウントとしての運用に必要な情報があることを確認します。例えば、メンバーアカウントに請求情報がない場合、 AWSは支払い情報を使用して、アカウントにアタッチされていない間に発生した請求対象AWSアクティビティに対して課金するため、スタンドアロンアカウントとして動作することはできません。

通常、AWSOrganizations コンソール、、APIまたは AWS コマンドラインインターフェイス (CLI) コマンドを使用してメンバーアカウントを作成した場合、スタンドアロンアカウントに必要な情報は自動的に収集されません。この情報を追加するには、アカウントにサインインし、サポートプラン、連絡先情報、支払方法を指定します。

組織からアカウントを削除する前に知っておく必要があることの詳細については、AWSOrganizations ドキュメントの「組織からアカウントを削除する前に」を参照してください。

メンバーアカウントをソース組織から削除します。

AWS Organizations ドキュメントの指示に従って、組織からメンバーアカウントを削除します。組織の管理アカウントにサインインしてメンバーアカウントを削除、またはメンバーアカウントにサインインして組織を離れることもできます。

アカウントを削除または離れる管理者レベルの認証情報がない場合は、組織の管理者に支援を求めてください。

メンバーアカウントにサポートプラン、連絡先情報、または支払情報がない場合は、その情報の提供と確認を求められます。

組織を離れると、AWSOrganizations コンソールの開始方法ページにリダイレクトされ、アカウントが他の組織に参加する招待を表示できます。

メンバーアカウントがソース組織の一部ではなくなったことを確認します。

AWS Organizations コンソールで、組織を残すボタンが表示されなくなりました。代わりに、他の組織からの保留中の招待（ある場合）が表示されるはずです。

アカウントへのアクセスを許可するIAMロールを、残した組織から削除します。

ソース組織からアカウントを削除しても、AWSOrganizations または管理者によって作成された AWS Identity and Access Management (IAM) ロールは自動的に削除されません。ソース組織の管理アカウントからのアクセスを終了するには、IAMロールを手動で削除する必要があります。詳細については、 IAMドキュメントの「ロールまたはインスタンスプロファイルの削除」を参照してください。

メンバーアカウントが組織を離れると、アカウントにアタッチされていたタグはすべて削除されます。スタンドアロンアカウントはタグをサポートしていません。

AWS Control Tower にサインインします。

管理者として AWS Control Tower コンソールにサインインします。 

現在、ソース組織から AWS Control Tower によって管理される OU 内の組織へAWSアカウントを移動する直接的な方法はありません。ただし、既に AWS Control Tower によって管理されている OU に登録するときに、既存のAWSアカウントに AWS Control Tower ガバナンスを拡張できます。そのため、このステップでは AWS Control Tower にログインする必要があります。

メンバーアカウントを招待します。

このアクションで、メンバーアカウントへのリンクを記載した招待メールを送信します。アカウント管理者がリンクをたどって招待を受け入れると、メンバーアカウントがAWSアカウントページに表示されます。詳細については、AWSOrganizations ドキュメントの「組織に参加するAWSアカウントを招待する」を参照してください。

アプリケーションと接続性をテストします。

メンバーアカウントが新しい組織に登録されると、ルート内の OU に表示されます。また、AWSControl Tower コンソールにも表示され、アカウントに登録されていないとフラグが付けられます。これは、AWSControl Tower に登録された OU にまだ登録されていないためです。

以下について確認します。

ガードレールを見直し、違反があれば修正します。

ターゲット OU で定義されているガードレール、特に予防用ガードレールを確認し、違反があれば修正します。 

AWS Control Tower ランディングゾーンを設定すると、いくつかの必須の予防ガードレールがデフォルトで有効になります。これらは無効化できません。アカウントを登録する前に、これらの必須のガードレールを確認し、メンバーアカウントを (手動またはスクリプトを使用して) 修正する必要があります。

ガードレール違反を修正したら、接続の問題を確認します。

場合によっては、ガードレール違反を修正するには、特定のポートを閉じる、またはサービスを無効化する必要があります。アカウントを登録する前に、それらのポートやサービスを使用するアプリケーションが修正されていることを確認します。

AWS Control Tower コンソールにサインインします。

AWS Control Tower の管理権限を持つサインイン認証情報を使用します。AWS Organizations アカウントを登録するために、ルートユーザー (管理アカウント) の認証情報を使用しないでください。エラーメッセージが表示されます。

アカウントを登録します。

詳細については、AWSControl Tower ドキュメントの「既存のアカウントを登録する」を参照してください。

アカウントを検証します。

AWS Control Tower から、アカウントを選択します。登録したばかりのアカウントの初期状態は [Enrolling（登録中）] です。登録が完了すると、状態は [Enrolled（登録済み）] に変わります。

ガードレールの違反がないか確認します。

OUで定義されたガードレールは、登録されたメンバーアカウントに自動的に適用されます。AWS Control Tower ダッシュボードで違反をモニタリングし、それに応じて修正します。詳細については、 AWSドキュメントのAWS「 Control Tower のガードレール」を参照してください。