Inscrever uma conta existente

• Acesse a página Organização no AWS Control Tower.

• Encontre o nome da conta que você deseja inscrever. Para encontrá-la, escolha Somente contas no menu suspenso no canto superior direito e localize o nome da conta na tabela filtrada.

• Siga as etapas para inscrever uma conta individual, conforme mostrado na seção Etapas para inscrever uma conta.

Como inscrever uma conta individual no AWS Control Tower

• Acesse a página Organização do AWS Control Tower.

• Na página Organização, as contas que elegíveis para inscrição permitem que você selecione Inscrever no menu suspenso Ações na parte superior da seção. Essas contas também mostram um botão Inscrever conta quando você as visualiza na página Detalhes da conta.

• Ao escolher Inscrever conta, você verá uma página Inscrever conta, na qual será solicitado que você adicione o perfil AWSControlTowerExecution à conta. Consulte instruções em Adicionar manualmente o perfil do IAM necessário a uma Conta da AWS existente e inscrevê-la.

• Depois, selecione uma UO registrada na lista suspensa. Se a conta já estiver em uma UO registrada, essa lista mostrará a UO.

• Escolha Enroll account (Registrar conta).

• Você verá um lembrete modal para adicionar o perfil AWSControlTowerExecution e confirmar a ação.

• Escolha Inscrever.

• O AWS Control Tower inicia o processo de inscrição e você é direcionado de volta à página Detalhes da conta.

• Para inscrever uma conta existente, o perfil AWSControlTowerExecution deve estar presente na conta que você está inscrevendo.

• Sua entidade principal do IAM pode não ter as permissões necessárias para provisionar uma conta.

• O AWS Security Token Service (AWS STS) está desabilitado na Conta da AWS em sua região de origem ou em qualquer região compatível com o AWS Control Tower.

• Você pode ter feito login com uma conta que precisa ser adicionada ao portfólio do Account Factory no AWS Service Catalog. A conta deve ser adicionada antes que você tenha acesso ao Account Factory para que seja possível criar ou inscrever uma conta no AWS Control Tower. Se o usuário ou perfil apropriado não for adicionado ao portfólio do Account Factory, será exibido um erro ao tentar adicionar uma conta. Consulte instruções sobre como conceder acesso aos portfólios do AWS Service Catalog em Granting access to users.

• É possível que você esteja conectado como raiz.

• A conta que você está tentando inscrever pode ter configurações do AWS Config que são residuais. Em particular, a conta pode ter um gravador de configuração ou canal de entrega. Eles devem ser excluídos ou modificados pela AWS CLI antes que você possa inscrever uma conta. Consulte mais informações em Inscrever contas que tenham recursos do AWS Config existentes e Interagir com o AWS Control Tower por meio do AWS CloudShell.

• Se a conta pertencer a outra UO com uma conta de gerenciamento, incluindo outra UO do AWS Control Tower, você deverá encerrar a conta em sua UO atual antes que ela possa ingressar em outra UO. Os recursos existentes devem ser removidos na UO original. Caso contrário, o registro falhará.

• O provisionamento e a inscrição da conta falharão se as SCPs da sua UO de destino não permitirem que você crie todos os recursos necessários para essa conta. Por exemplo, uma SCP na UO de destino pode bloquear a criação de recursos sem determinadas tags. Nesse caso, o provisionamento ou a inscrição da conta falham, porque o AWS Control Tower não permite a marcação de recursos. Se precisar de ajuda, entre em contato com seu representante de conta ou com o AWS Support.

Recomendado: é possível configurar uma abordagem em duas etapas para o registro da conta

• Primeiro, use um pacote de conformidade do AWS Config para avaliar como suas contas podem ser afetadas por alguns controles do AWS Control Tower. Para determinar como a inscrição no AWS Control Tower pode afetar suas contas, consulte Extend AWS Control Tower governance using AWS Config conformance packs.

• Depois disso, talvez você queira registrar a conta. Se os resultados de conformidade forem satisfatórios, o caminho de migração será mais fácil porque é possível registrar a conta sem consequências inesperadas.

• Depois de fazer sua avaliação, se você decidir configurar uma zona de pouso do AWS Control Tower, talvez seja necessário remover o gravador de configuração e o canal de entrega do AWS Config que foram criados para sua avaliação. Depois disso, será possível configurar o AWS Control Tower com êxito.