Como remover uma conta-membro de sua organização com o AWS Organizations
A remoção de uma conta-membro não encerra a conta, mas remove a conta-membro da organização. A conta do antigo membro se torna uma Conta da AWS autônoma que não é mais gerenciada pelo AWS Organizations.
Em seguida, a conta não estará mais sujeita a nenhuma política e será responsável por seus próprios pagamentos de contas. A conta de gerenciamento da organização não é mais cobrada por nenhuma despesa acumulada pela conta após sua remoção da organização.
Considerações
Os perfis de acesso do IAM criados pela conta de gerenciamento não são excluídas automaticamente
Quando você remove uma conta de membro da organização, qualquer perfil do IAM criado para permitir o acesso pela conta de gerenciamento da organização não é excluído automaticamente. Se você deseja terminar esse acesso a partir da conta de gerenciamento da antiga organização, exclua manualmente o perfil do IAM. Para obter mais informações sobre como excluir uma função, consulte Excluir funções ou perfis de instância no Guia do usuário do IAM.
Você pode remover uma conta de sua organização somente se a conta tem as informações necessárias para operar como uma conta autônoma
Você pode remover uma conta de sua organização somente se a conta tem as informações necessárias para operar como uma conta autônoma. Ao criar uma conta em uma organização usando o console do AWS Organizations, a API ou os comandos da AWS CLI, todas as informações exigidas das contas independentes não são coletadas automaticamente.
Para cada conta que você desejar tornar autônoma, é necessário escolher um plano de suporte, fornecer e confirmar as informações de contato exigidas, bem como informar o método de pagamento atual. A AWS usa o método de pagamento para cobrar qualquer atividade faturável (fora do nível gratuito da AWS) da AWS que ocorra enquanto a conta não estiver anexada a uma organização. Para remover uma conta que ainda não tem essas informações, siga as etapas em Sair de uma organização como uma conta-membro com o AWS Organizations.
Você deve aguardar pelo menos sete dias após a criação da conta
Para remover uma conta que você criou na organização, você deve aguardar pelo menos sete dias após a criação da conta. As contas convidadas não estão sujeitas a esse período de espera.
O proprietário da conta que sai se torna responsável por todos os novos custos acumulados
No momento em que a conta sai com sucesso da organização, o proprietário da Conta da AWS torna-se responsável por todos os novos custos acumulados da AWS, e o método de pagamento da conta é usado. A conta de gerenciamento da organização não é mais responsável.
A conta que você deseja remover não deve ser uma conta de administrador delegado para qualquer serviço da AWS habilitado para sua organização
A conta que você deseja remover não deve ser uma conta de administrador delegado para qualquer serviço da AWS habilitado para sua organização. Se a conta for um administrador delegado, você deve primeiro alterar a conta de administrador delegado para outra conta que esteja permanecendo na organização. Para obter mais informações sobre como desabilitar ou alterar a conta de administrador delegado para um serviço da AWS, consulte a documentação desse serviço.
A conta não tem mais acesso aos dados de custo e uso
Quando uma conta membro deixa uma organização, essa conta deixa de ter acesso aos dados de custo e uso no período quando a conta era membro da organização. No entanto, a conta de gerenciamento da organização ainda pode acessar os dados. Se reentrar na organização, a conta poderá acessar novamente esses dados.
As tags anexadas à conta são excluídas
Quando uma conta-membro sai de uma organização, todas as tags anexadas à conta são excluídas.
As entidades principais da conta não são mais afetadas por nenhuma política da organização
As entidades primárias da conta não são mais afetadas pelas políticas que se aplicavam na organização. Isso significa que as restrições impostas por SCPs são removidas, e os usuários e as funções da conta podem ter mais permissões do que tinham antes. Outros tipos de política da organização não podem mais ser aplicados ou processados.
A conta não está mais coberta pelos contratos da organização
Se uma conta-membro for removida de uma organização, ela não será mais coberta pelos contratos da organização. Os administradores das contas de gerenciamento deverão informar às contas-membro antes de removê-las da organização, para que elas possam colocar novos contratos em vigor, se necessário. Uma lista de contratos ativos da organização pode ser visualizada no console do AWS Artifact na página AWS Artifact Organization Agreements (Contratos da organização do AWS Artifact)
A integração com outros serviços pode ser desabilitado
A integração com outros serviços pode ser desativada. Se você remover uma conta de uma organização que tem integração com um serviço da AWS, os usuários dessa conta não poderão mais usar esse serviço.
Para remover uma conta-membro de uma organização
Quando faz login na conta de gerenciamento da organização, você pode remover contas-membro da organização que não são mais necessárias. Para fazer isso, conclua o seguinte procedimento. Este procedimento se aplica somente a contas-membro. Para remover a conta de gerenciamento, é necessário excluir a organização.
Permissões mínimas
Para remover uma ou mais contas-membro de sua organização, você deve fazer login como um usuário ou perfil na conta de gerenciamento com as seguintes permissões:
-
organizations:DescribeOrganization– necessária somente ao usar o console do Organizations -
organizations:RemoveAccountFromOrganization
Se você optar por fazer login como um usuário ou perfil em uma conta-membro na etapa 5, esse usuário ou perfil deverá ter as seguintes permissões:
-
organizations:DescribeOrganization– necessária somente ao usar o console do Organizations. -
organizations:LeaveOrganization– observe que o administrador da organização pode aplicar uma política para a sua conta que remove essa permissão, impedindo que você remova sua conta da organização. -
Se quando você fizer login como usuário do IAM estiverem faltando informações de pagamento na conta, será necessário que o usuário tenha as permissões
aws-portal:ModifyBillingeaws-portal:ModifyPaymentMethods(caso a conta ainda não tenha migrado para permissões refinadas) OU as permissõespayments:CreatePaymentInstrumentepayments:UpdatePaymentPreferences(caso a conta já tenha migrado para permissões refinadas). Além disso, a conta-membro precisa ter acesso de usuário do IAM ao faturamento habilitado. Se ele ainda não estiver habilitado, consulte Ativar o acesso ao console do Billing and Cost Management no Guia do usuário do AWS Billing.
