문제 해결 - AWS Control Tower
랜딩 영역 시작 실패랜딩 존이 최신 상태가 아님 오류새 계정 프로비저닝 실패기존 계정 등록 실패Account Factory 계정을 업데이트할 수 없음랜딩 존을 업데이트할 수 없습니다.다음과 같은 실패 오류가 발생했습니다. AWS Config시작 경로를 찾을 수 없음 오류권한 부족 오류를 수신했습니다.Detective 컨트롤은 계정에 적용되지 않습니다API에서 속도 초과 오류가 반환되었습니다. AWS OrganizationsAccount Factory 계정을 한 AWS 컨트롤 타워 랜딩 존에서 다른 AWS 컨트롤 타워 랜딩 존으로 직접 이전하지 못함AWS Support

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

문제 해결

AWS Control Tower를 사용하는 동안 문제가 발생하는 경우 다음 정보를 사용하여 모범 사례에 따라 문제를 해결할 수 있습니다. 발생한 문제가 다음 정보의 범위를 벗어나거나 해결을 시도한 후에도 문제가 지속되면 AWS Support에 문의하십시오.

랜딩 영역 시작 실패

랜딩 영역 시작 실패의 일반적인 원인:

  • 확인 이메일 메시지에 응답하지 않음

  • AWS CloudFormation StackSet 실패.

확인 이메일 메시지: 관리 계정이 한 시간 미만인 경우 추가 계정을 만들 때 문제가 발생할 수 있습니다.

취할 조치

이 문제가 발생하는 경우 이메일을 확인하십시오. 응답을 대기하는 확인 이메일이 전송되었을 수 있습니다. 또는 한 시간 정도 기다렸다가 다시 시도하는 것이 좋습니다. 문제가 지속되면 AWS Support에 문의하세요.

실패 StackSets: landing Zone 시작 실패의 또 다른 가능한 원인은 AWS CloudFormation StackSet 실패입니다. AWS 프로비저닝이 성공하려면 AWS Control Tower가 관리하는 모든 AWS 지역의 관리 계정에서 보안 토큰 서비스 (STS) 지역을 활성화해야 합니다. 그렇지 않으면 스택 세트를 시작할 수 없습니다.

취할 조치

AWS Control Tower를 시작하기 전에 필요한 AWS 보안 토큰 서비스 (STS) 엔드포인트 지역을 모두 활성화해야 합니다.

AWS Control AWS 리전 Tower가 지원하는 목록을 보려면 을 참조하십시오AWS 리전이 AWS Control Tower와 작동하는 방식.

랜딩 존이 최신 상태가 아님 오류

최근에 랜딩 존을 업데이트하지 않은 경우, AWS Control Tower에 다시 액세스하려고 할 때 오류가 발생할 수 있습니다. 다음과 비슷한 오류 메시지가 표시될 수 있습니다.

Unable to access Control Tower

계정이 너무 오랫동안 비활성 상태였습니다. 비활성 상태이므로 AWS Control Tower에 액세스하려면 랜딩 존을 업데이트해야 합니다.

하지만, Landing Zone 업데이트가 실패할 수 있습니다.

취해야 할 조치

조직의 관리 계정에 로그인하고 루트 사용자로 로그인합니다. IAM 사용자 또는 IAM ID 센터의 사용자는 AWS Control Tower 관리자 권한을 가지고 있어야 하며 그룹에 속해야 합니다. AWSControlTowerAdmins 그런 다음 업데이트를 다시 시도해 보십시오.

새 계정 프로비저닝 실패

이 문제가 발생하면 이러한 일반적인 원인을 확인하십시오.

계정 프로비저닝 양식을 작성할 때 다음과 같은 내용이 있을 수 있습니다.

  • 지정된 tagOptions

  • 활성화된 SNS 알림

  • 활성화된 프로비저닝된 제품 알림

이러한 옵션을 지정하지 않고 다시 계정을 프로비저닝합니다. 자세한 정보는 AWS Service Catalog Account Factory로 계정 프로비저닝 을 참조하세요.

실패의 다른 일반적인 원인:

  • 리소스 변경 내용을 보기 위해 프로비저닝된 제품 계획을 만든 경우 계정 프로비저닝이 계속 진행 중 상태로 유지될 수 있습니다.

  • 다른 AWS Control Tower 구성 변경이 진행 중인 동안에는 Account Factory에서 새 계정을 생성할 수 없습니다. 예를 들어 OU에 컨트롤을 추가하는 프로세스를 실행하는 동안 계정을 프로비저닝하려고 하면 Account Factory에 오류 메시지가 표시됩니다.

AWS Control Tower에서 이전 작업의 상태를 확인하려면

  • AWS CloudFormation >로 이동합니다. StackSets

  • AWS Control Tower (접두사: "AWSControlTower“) 와 관련된 각 스택 세트를 확인합니다.

  • 아직 실행 중인 AWS CloudFormation StackSets 작업을 찾아보십시오.

계정 프로비저닝이 1시간 이상 걸리는 경우 프로비저닝 프로세스를 종료하고 다시 시도하는 것이 좋습니다.

기존 계정 등록 실패

기존 AWS 계정을 등록하려고 한 번 시도했지만 등록이 실패하는 경우 두 번째로 시도하면 스택 세트가 존재한다는 오류 메시지가 표시될 수 있습니다. 계속하려면 Account Factory에서 프로비저닝된 제품을 제거해야 합니다.

첫 번째 등록 실패의 이유가 계정에서 AWSControlTowerExecution 역할을 미리 생성하지 않았기 때문인 경우, 오류 메시지에 이 역할을 생성하라는 메시지가 표시됩니다. 그러나 이 역할을 생성하려고 하면 AWS Control Tower에서 역할을 생성할 수 없다는 또 다른 오류 메시지가 나타날 수 있습니다. 이 오류는 프로세스가 부분적으로 완료되었기 때문에 발생합니다.

이 경우 기존 계정 등록을 진행하기 전에 두 가지 복구 단계를 수행해야 합니다. 먼저 콘솔을 통해 Account Factory가 제공하는 제품을 종료해야 합니다 AWS Service Catalog . 그런 다음 AWS Organizations 콘솔을 사용하여 계정을 OU 밖으로 수동으로 이동하고 루트로 다시 이동해야 합니다. 이 작업이 완료되면 계정에서 AWSControlTowerExecution 역할을 생성한 다음 계정 등록 양식을 다시 작성합니다.

등록 실패의 또 다른 가능한 원인은 계정에 기존 Config AWS 리소스가 있기 때문입니다. 이 경우 기존 리소스를 수정하는 방법에 대한 지침은 기존 AWS Config 리소스가 있는 계정 등록을 참조하세요.

Account Factory 계정을 업데이트할 수 없음

계정이 일관되지 않은 상태인 경우 Account Factory 또는 AWS Service Catalog에서 성공적으로 업데이트할 수 없습니다.

사례 1: 다음과 비슷한 오류 메시지가 표시될 수 있습니다.

AWS Control Tower could not baseline VPC in the managed account because of existing resource dependencies.

일반적인 원인: AWS Control Tower는 초기 프로비저닝 중에 항상 AWS 기본 VPC를 제거합니다. 계정에 AWS 기본 VPC를 사용하려면 계정 생성 후 기본 VPC를 추가해야 합니다. 실제 설명과 같이 Account Factory를 설정하지 않는 한, AWS Control Tower에는 기본 AWS VPC를 대체하는 자체 기본 VPC가 있습니다. 따라서 AWS Control Tower는 VPC를 전혀 프로비저닝하지 않습니다. 따라서 계정에 VPC가 없게 됩니다. 기본 VPC를 사용하려면 AWS 기본 VPC를 다시 추가해야 합니다.

하지만 AWS Control Tower는 AWS 기본 VPC를 지원하지 않습니다. 계정을 배포하면 계정이 상태로 전환됩니다. Tainted 해당 상태에서는 계정을 업데이트할 수 없습니다. AWS Service Catalog

취할 조치: 추가한 기본 VPC를 삭제해야 합니다. 그러면 계정을 업데이트할 수 있습니다.

참고

Tainted상태로 인해 다음과 같은 문제가 발생합니다. 계정이 업데이트되지 않으면 계정이 속한 OU에서 제어를 활성화하지 못할 수 있습니다.

사례 2: 다음과 비슷한 오류 메시지가 표시될 수 있습니다.

AWS Control Tower detects that your enrolled account has been moved to a new organizational unit.

일반적인 원인: 등록된 OU에서 다른 OU로 계정을 이동하려고 했지만 이전 AWS Config 규칙은 그대로 남아 있습니다. 계정이 일관되지 않은 상태입니다.

취해야 할 조치:

계정 이동이 의도된 경우:

  • Service Catalog에서 계정을 종료합니다.

  • 다시 등록하세요.

  • 컨텍스트/영향: 배포된 AWS Config 규칙이 대상 OU에서 지정한 구성과 일치하지 않습니다.

  • AWS Config 규칙이 이전 OU에 그대로 남아 있어 의도하지 않은 지출이 발생할 수 있습니다.

  • 계정을 재등록하거나 업데이트하려는 시도는 리소스 이름 충돌로 인해 실패합니다.

의도하지 않은 계정 이동인 경우:

  • 계정을 원래 OU로 되돌립니다.

  • Service Catalog에서 계정을 업데이트합니다.

  • 시작 매개 변수에 해당 계정이 원래 속했던 OU를 입력합니다.

  • 컨텍스트/영향: 계정을 원래 OU로 되돌리지 않으면 계정 상태가 새 OU에서 지정하는 컨트롤과 일치하지 않게 됩니다.

  • 계정 업데이트는 이전 OU와 관련된 규칙을 삭제하지 않으므로 유효한 수정 방법이 아닙니다. AWS Config

랜딩 존을 업데이트할 수 없습니다.

AWS Control Tower는 업데이트가 실패할 경우 이전 랜딩 존 버전으로 롤백하지 않습니다. 착륙 지대가 불확실한 상태일 수 있습니다. 그렇다면 지원팀에 문의하세요 AWS .

랜딩 존 업데이트는 여러 가지 이유로 실패할 수 있습니다.

  • 사전 요구 사항이 충족되지 않음

  • AWS Config 특정 계정에 리소스가 있습니다.

  • 폐쇄된 계정이 존재합니다.

사전 요구 사항이 충족되지 않음

랜딩 존 업데이트는 랜딩 존 설정과 동일한 사전 요구 사항을 충족해야 합니다. 업데이트하기 전에 사전 출시 검사를 검토하세요.

AWS Config 보안 OU 계정에 리소스가 있습니다.

감사 및 로그 아카이브 계정에는 AWS Config 리소스를 추가하지 마십시오. 이러한 리소스가 있는 상태에서는 Landing Zone 업데이트 프로세스를 완료할 수 없습니다. 이러한 제한은 계정을 등록하거나 처음으로 landing Zone을 설정하는 경우와 유사합니다. 자세한 내용은 기존 AWS Config 리소스가 있는 계정 등록을 참조하십시오.

폐쇄된 계정이 존재합니다.

계정이 폐쇄됨 또는 일시 중단된 상태인 경우, landing Zone을 업데이트하려고 할 때 문제가 발생할 수 있습니다. Landing Zone을 업데이트하기 전에 폐쇄된 모든 계정에서 프로비저닝된 제품을 삭제해야 합니다.

AWS Service Catalog 프로비저닝된 제품 페이지에서 다음과 유사한 오류 메시지가 표시될 수 있습니다.

AWSControlTowerExecution role can't be assumed on the account.

일반적인 원인: 프로비저닝된 제품을 삭제하지 않고 계정을 일시 중지했습니다.

취해야 할 조치: 이 오류가 표시되는 경우 다음 두 가지 옵션이 있습니다.

  1. AWS Support에 문의하여 계정을 다시 열고 프로비저닝된 제품을 삭제한 다음 계정을 다시 닫으십시오.

  2. 계정 폐쇄로 인해 연결이 끊긴 리소스를 에서 제거하십시오. StackSets (이 옵션은 현재 상태의 인스턴스 중 제거하지 않을 인스턴스가 StackSets 있는 경우에만 사용할 수 있습니다.)

에서 리소스를 제거하려면 폐쇄된 StackSets 각 계정에 대해 다음과 같이 하십시오.

  • 각 AWS Control StackSets Tower로 이동하여 모든 지역에서 폐쇄된 계정의 계정을 제거하십시오. StackInstances

  • 중요: Retain Stack 옵션을 선택하면 스택 인스턴스만 StackSet 제거됩니다. StackSet 폐쇄된 계정에서는 역할을 수임할 수 없으므로 AWSControlTowerExecution 역할을 맡으려고 하면 실패하고, 이로 인해 오류 메시지가 표시됩니다.

다음과 같은 실패 오류가 발생했습니다. AWS Config

AWS Config 가 AWS Control Tower에서 지원하는 모든 AWS 지역에서 활성화된 경우 사전 확인이 실패했기 때문에 오류 메시지가 표시될 수 있습니다. 의 일부 기본 동작으로 인해 메시지가 문제를 적절하게 설명하지 못하는 것처럼 보일 수 있습니다. AWS Config

다음 중 하나와 유사한 오류 메시지가 나타날 수 있습니다.

  • AWS Control Tower cannot create an AWS Config delivery channel because one already exists. To continue, delete the existing delivery channel and try again
.

  • AWS Control Tower cannot create an AWS Config configuration recorder because one already exists. To continue, delete the existing delivery channel and try again
.

일반적인 원인: AWS 계정에서 AWS Config 서비스를 사용하도록 설정하면 기본 이름을 사용하여 구성 레코더와 전송 채널이 만들어집니다. 콘솔을 통해 AWS Config 서비스를 비활성화하면 컨피그레이션 레코더 또는 전송 채널이 삭제되지 않습니다. CLI를 통해 삭제하거나 AWS Control Tower에서 사용할 수 있도록 수정해야 합니다. AWS Control Tower가 지원하는 지역 중 하나에서 AWS Config 서비스를 활성화하면 이 오류가 발생할 수 있습니다.

계정에 기존 AWS Config 리소스가 있는 경우 기존 리소스를 수정하는 방법에 대한 지침은 기존 AWS Config 리소스가 있는 계정 등록을 참조하세요.

취할 조치: 지원되는 모든 리전에서 구성 레코더 및 전송 채널을 삭제합니다. AWS Config를 비활성화하는 것만으로는 충분하지 않습니다. CLI를 통해 컨피그레이션 레코더와 전송 채널을 삭제해야 합니다. CLI에서 구성 레코더 및 전송 채널을 삭제한 후 다시 AWS Control Tower를 시작하고 계정을 등록해 볼 수 있습니다.

프로비저닝된 제품을 배포하는 중이라면 재시도하기 전에 프로비저닝된 제품을 삭제해야 합니다. 그렇지 않으면 다음과 비슷한 오류 메시지가 표시될 수 있습니다.

  • An error occurred (InvalidParametersException) when calling the ProvisionProduct operation: A stack named Stackname already exists.

메시지에서 스택의 이름을 Stackname지정합니다.

다음은 컨피그레이션 레코더 및 전송 채널의 상태를 확인하는 데 사용할 수 있는 몇 가지 예제 AWS Config CLI 명령입니다.

보기 명령:

  • aws configservice describe-delivery-channels

  • aws configservice describe-delivery-channel-status

  • aws configservice describe-configuration-recorders

  • The normal response is something like "name": "default"

삭제 명령:

  • aws configservice stop-configuration-recorder --configuration-recorder-name NAME-FROM-DESCRIBE-OUTPUT

  • aws configservice delete-delivery-channel --delivery-channel-name NAME-FROM-DESCRIBE-OUTPUT

  • aws configservice delete-configuration-recorder --configuration-recorder-name NAME-FROM-DESCRIBE-OUTPUT

자세한 내용은 설명서를 참조하십시오. AWS Config

시작 경로를 찾을 수 없음 오류

새 계정을 생성하려고 할 때 다음과 유사한 오류 메시지가 나타날 수 있습니다.

No launch paths found for resource: prod-dpqqfywxxxx

이 오류 메시지는 AWS Control Tower에서 계정을 프로비저닝하는 데 도움이 되는 통합 서비스인 에서 생성됩니다. AWS Service Catalog

일반적인 원인:

  • 루트로 로그인했을 수 있습니다. AWS Control Tower는 루트 사용자로 로그인한 경우 계정 생성을 지원하지 않습니다.

  • IAM Identity Center 사용자가 적절한 권한 그룹에 추가되지 않았습니다. IAM Identity Center 사용자를 다음 권한 그룹 (최종 사용자 액세스용) 또는 AWSAccountFactoryAWSServiceCatalogAdmins(관리자 액세스용) 중 하나에 추가해야 할 수 있습니다.

  • IAM 사용자로 인증된 경우 올바른 권한을 갖도록 AWS Service Catalog 포트폴리오에 추가해야 합니다.

  • 이 문제는 올바른 권한을 가지고 있지만 AWS Control Tower 드리프트가 감지되어 드리프트 복구가 필요한 경우에도 발생합니다. 대부분의 유형의 드리프트를 복구하려면 랜딩 존 설정 페이지에서 Reset을 선택하십시오.

권한 부족 오류를 수신했습니다.

계정에 특정 작업을 수행하는 데 필요한 권한이 없을 수 있습니다. AWS Organizations다음과 같은 유형의 오류가 발생하는 경우 IAM 또는 IAM Identity Center 권한과 같은 모든 권한 영역을 확인하여 해당 위치에서 권한이 거부되지 않았는지 확인하십시오.

You have insufficient permissions to perform AWS Organizations API actions.

작업에 시도하려는 조치가 필요하다고 생각되지만 관련 제한 사항을 찾을 수 없는 경우 시스템 관리자 또는 AWS Support에 문의하세요.

Detective 컨트롤은 계정에 적용되지 않습니다

최근에 AWS Control Tower 배포를 새 AWS 지역으로 확장한 경우, AWS Control Tower가 관리하는 OU 내의 개별 계정이 업데이트되기 전까지는 어떤 지역에서든 새로 생성한 계정에 새로 적용된 탐지 제어 항목이 적용되지 않습니다. 기존 계정에 대한 기존 탐지 제어는 여전히 유효합니다.

계정을 업데이트하기 전에 탐지 제어를 활성화하려고 하면 다음과 비슷한 오류 메시지가 표시될 수 있습니다.

AWS Control Tower can't enable the selected control on this OU. AWS Control Tower cannot apply the control on the OU ou-xxx-xxxxxxxx, because child accounts have dependencies that are missing. Update all child accounts under the OU, then try again.

취할 조치: 계정 업데이트.

AWS Control Tower 콘솔에서 계정을 업데이트하려면 을 참조하십시오AWS Control Tower OUs 및 계정을 업데이트해야 하는 경우.

프로그래밍 방식으로 여러 개별 계정을 업데이트하려면 의 AWS Service Catalog API와 AWS CLI를 사용하여 업데이트를 자동화할 수 있습니다. 이 업데이트 프로세스 방법에 대한 자세한 내용은 이 비디오 안내을 참조하십시오.  동영상에 표시된 UpdateProvisionedProductAPI를 API로 ProvisionProduct대체할 수 있습니다.

계정에서 탐지 제어를 활성화하는 데 문제가 더 있는 경우 AWS Support에 문의하세요.

API에서 속도 초과 오류가 반환되었습니다. AWS Organizations

가능한 원인

AWS Control Tower가 SCP의 드리프트 여부를 확인하기 위해 일일 스캔을 실행하는 동안 워크로드가 실행되고 있었습니다.

따라야 할 단계

API 스로틀링 또는 rate exceeded 오류가 발생하는 경우 다음 단계를 시도해 보세요.

  • 워크로드를 다른 시간에 실행하세요. (AWS Control Tower에서 감사 스캔을 실행하는 시기를 알아보려면 지역별 AWS Control Tower SCP 불변량 스캔 일정을 참조하십시오.)

  • HTTP를 통해 API를 직접 호출하는 경우: 실패한 작업을 자동으로 재시도하는 AWS SDK를 사용하십시오.

  • Service AWS Quotas 및 Support를 통해 한도 증가를 요청하십시오.

Elastic Beanstalk의 API 스로틀링에 대한 문제 해결 지침의 예는 다음에서 찾을 수 있습니다. https://aws.amazon.com/premiumsupport/knowledge-center/elastic-beanstalk-api-throttling-errors/

Account Factory 계정을 한 AWS 컨트롤 타워 랜딩 존에서 다른 AWS 컨트롤 타워 랜딩 존으로 직접 이전하지 못함

주의

적격 계정은 동일한 전체 AWS 조직에 속해야 하고 각 조직에는 하나의 랜딩 존만 있을 수 있기 때문에 이 방법은 적격 계정 등록의 전제 조건을 충족하지 않습니다. 이 작업을 시도했지만 오류 메시지가 여러 번 표시되는 경우 도움이 될 수 있는 몇 가지 정보가 있습니다.

Account Factory를 통해 프로비저닝한 계정을 다른 관리 계정 아래의 AWS Control Tower에서 관리하는 다른 랜딩 존으로 이동하려면 원래 OU에서 해당 계정과 관련된 모든 IAM 역할 및 스택을 제거해야 합니다. 계정이 배포된 모든 지역에서 이러한 리소스를 제거하십시오.

참고

리소스를 제거하는 가장 좋은 방법은 계정을 이동하기 전에 원래 OU에서 계정 프로비저닝을 해제하는 것입니다.

리소스를 제거하지 않으면 새 OU에 등록이 실패하는 경우가 종종 있습니다. 하나 이상의 오류 메시지가 발생할 수 있으며, 계정이 배포된 모든 지역에서 나머지 역할 및 스택이 제거될 때까지 비슷한 오류 메시지가 계속 표시됩니다.

오류 메시지를 받을 때마다 새 OU에서 계정을 제거하고 오류 메시지의 대상인 이전 리소스를 삭제한 다음 계정을 새 OU로 다시 이동해 봐야 합니다. 남아 있는 모든 리소스, 즉 계정이 배포된 모든 지역에 대해 이 프로세스를 10~20회 정도 removing-and-deleting 반복해야 합니다. 이러한 오류가 반복해서 발생하는 이유는 IAM 역할 삭제를 방지하는 SCP가 있는 OU에 계정이 프로비저닝되었기 때문입니다. 재시도하기 전에 계정의 리소스를 모두 삭제하여 복구 프로세스를 더 짧게 만들 수 있습니다.

아래 예는 삭제되지 않은 역할 및 스택이 남아 있는 경우 받을 수 있는 실패 메시지 유형을 나타냅니다. 오래된 리소스가 남아 있는 한, 계정을 등록하려고 할 때마다 이러한 메시지가 한 번에 하나씩 표시될 가능성이 큽니다.

예제의 리소스 ID 문자열 값이 수정되었습니다. 오류 메시지가 표시될 경우 해당 값이 동일하지 않을 수 있습니다. 다음 예와 비슷한 메시지가 표시될 수 있습니다.

  • AWS Control Tower cannot create the IAM role aws-controltower-AdministratorExecutionRole because the role already exists. To continue, delete the existing IAM role and try again.

  • AWS Control Tower cannot create the IAM role aws-controltower-ConfigRecorderRole because the role already exists. To continue, delete the existing IAM role and try again.

  • AWS Control Tower cannot create the IAM role aws-controltower-ForwardSnsNotificationRole because the role already exists. To continue, delete the existing IAM role and try again.

또는 다음과 비슷한 스택 세트 실패에 대한 오류 메시지가 표시될 수 있습니다.

 
"Error\":\"StackSetFailState\",
\"Cause\":\"StackSetOperation on AWSControlTowerBP-BASELINE-CLOUDWATCH 
with id 8aXXXXf5-e0XX-4XXa-bc4XX-dXXXXXee31 
has reached SUCCEEDED state but has 1 NON-CURRENT stack instances; 
here is the summary :{ StackSet Id: 
AWSControlTowerBP-BASELINE-CLOUDWATCH:40XXXbf2-Xead-46a1-XXXa-eXXXXecb2ee2, 
Stack instance Id: 
arn:aws:cloudformation:eu-west-1:1X23456789XX:
            stack/StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-4feXXXXXX-ecXX-XXc6-bXXX-4ae678/4feXXXXXX-ecX-4ae123458, 
Status: OUTDATED, 
Status Reason: ResourceLogicalId:ForwardSnsNotification, 
ResourceType:AWS::Lambda::Function, 
ResourceStatusReason:aws-controltower-NotificationForwarder already exists in stack 
arn:aws:cloudformation:eu-west-1:1X23456789XX:
            stack/StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-4feXXXXXX-ecXX-XXc6-bXXX-4ae678/4feXXXXXX-ecX-4ae123458.

첫 번째 OU에서 나머지 리소스가 모두 제거되면 계정을 새 OU에 성공적으로 초대, 프로비저닝 또는 등록할 수 있습니다.

AWS Support

기존 구성원 계정을 다른 지원 플랜으로 이동하려는 경우 루트 계정 자격 증명으로 각 계정에 로그인하고, 플랜을 비교하고, 원하는 지원 수준을 설정할 수 있습니다.

지원 플랜을 변경할 때는 MFA 및 계정 보안 연락처를 업데이트하는 것이 좋습니다.