Migrar uma conta de AWS membro do AWS Organizations para a AWS Control Tower

Verifique se a conta do membro pode ser executada como uma conta independente.

Confirme se a conta membro que sairá da organização de origem tem as informações necessárias para operar como uma conta independente. Por exemplo, se a conta do membro não tiver informações de cobrança, ela não poderá operar como uma conta independente, pois AWS usa as informações de pagamento para cobrar por qualquer AWS atividade faturável que ocorra enquanto a conta não está vinculada a uma organização.

Normalmente, se você criou a conta do membro usando o console AWS Organizations ou os comandos da AWS Command Line Interface (CLI), as informações necessárias das contas independentes não são coletadas automaticamente. API Para adicionar essas informações, faça login na conta e especifique um plano de suporte, informações de contato e uma forma de pagamento.

Para obter mais informações sobre o que você precisa saber antes de remover uma conta de uma organização, consulte Antes de remover uma conta da organização na documentação de AWS Organizations.

Remova a conta membro da sua organização de origem.

Siga as instruções na documentação de AWS Organizations para remover uma conta de membro de uma organização. Você pode entrar na conta de gerenciamento da organização e remover a conta do membro, ou entrar na conta do membro e sair da organização.

Se não tiver credenciais de administrador para remover ou sair da conta, peça ajuda ao administrador da sua organização.

Se a conta do membro não tiver um plano de suporte, informações de contato ou informações de pagamento, você será solicitado a fornecer e verificar essas informações.

Ao sair da organização, você é redirecionado para a página Getting Started do console AWS Organizations, onde você pode ver os convites para sua conta se juntar a outras organizações.

Importante: neste momento, sua conta é uma conta independente. Se você estiver executando cargas de trabalho que não são cobertas pelo nível AWS gratuito, você será cobrado de acordo com as informações de pagamento e cobrança fornecidas para a conta.

Verifique se a conta-membro deixa de fazer parte da organização de origem.

No console AWS Organizations, você não deve mais ver o botão Sair da organização. Em vez disso, você deve ver convites pendentes, se houver, de outras organizações.

Remova as IAM funções que concedem acesso à sua conta da organização que você deixou.

Quando você remove a conta da organização de origem, as funções de AWS Identity and Access Management (IAM) criadas por AWS Organizations ou por administradores não são excluídas automaticamente. Para encerrar o acesso da conta de gerenciamento da organização de origem, você deve excluir manualmente as IAM funções. Para obter mais informações, consulte Excluir funções ou perfis de instância na IAM documentação.

Quando uma conta-membro sai de uma organização, todas as tags anexadas à conta são excluídas. Contas autônomas não dão suporte para tags.

Faça login na AWS Control Tower.

Faça login no console do AWS Control Tower como administrador. 

Atualmente, não há uma forma direta de mover uma AWS conta de uma organização de origem para uma organização em uma OU que seja governada pela AWS Control Tower. No entanto, você pode estender a governança da AWS Control Tower para uma AWS conta existente ao inscrevê-la em uma OU que já seja governada pela AWS Control Tower. É por isso que você precisa fazer login no AWS Control Tower para esta etapa.

Convidar a conta-membro.

Importante: verifique se nenhum aplicativo ou conectividade de rede será afetado pela transferência da conta.

Essa ação envia um e-mail de convite com um link para a conta-membro. Quando o administrador da conta segue o link e aceita o convite, a conta do membro aparece na página de AWScontas. Para obter mais informações, consulte Convidar uma AWS conta para se juntar à sua organização na documentação de AWS Organizations.

Teste aplicativos e conectividade.

Quando a conta do membro é registrada na nova organização, ela aparece na OU dentro de uma raiz. Ela também aparece no console da AWS Control Tower, marcada como não inscrita em contas, porque ainda não foi inscrita na OU registrada na AWS Control Tower.

Verifique o seguinte:

Revise as barreiras de proteção e corrija quaisquer violações.

Revise as barreiras de proteção definidas na UO de destino, especialmente as grades de proteção preventivas, e corrija quaisquer violações. 

Várias grades de proteção preventivas obrigatórias são ativadas por padrão quando você configura sua zona de pouso da AWS Control Tower. Elas não podem ser desabilitadas. Você deve revisar essas barreiras de proteção obrigatórias e corrigir a conta do membro (manualmente ou usando um script) antes de cadastrar a conta.

Observação: as proteções preventivas mantêm as contas registradas da AWS Control Tower em conformidade e evitam violações de políticas. Qualquer violação das barreiras de proteção preventivas pode afetar a inscrição. Detective que violar a barreira de proteção aparece no painel da AWS Control Tower, se detectadas, após a inscrição bem-sucedida. Eles não afetam o processo de inscrição. Para obter mais informações, consulte Guardrails in AWS Control Tower na AWS documentação.

Verifique se há problemas de conectividade depois de corrigir as violações da barreira de proteção.

Em alguns casos, você pode ter que fechar portas específicas ou desativar serviços para corrigir violações da barreira de proteção. Certifique-se de que os aplicativos que usam essas portas e serviços sejam corrigidos antes de registrar a conta.

Faça login no console do AWS Control Tower.

Use credenciais de login que tenham permissões administrativas para o Control TowerAWS. Não use as credenciais do usuário raiz (conta de gerenciamento) para registrar uma conta do AWS Organizations. Isso exibirá uma mensagem de erro.

Registre a conta.

Para obter mais informações, consulte Inscrever uma conta existente na documentação da AWS Control Tower.

Verifique a conta.

Em AWS Control Tower, escolha Accounts. A conta que você acabou de cadastrar tem um estado inicial de Inscrição. Quando a inscrição é concluída, seu estado muda para Inscrito.

Verifique se há violações da barreira de proteção.

As barreiras de proteção definidas na OU se aplicarão automaticamente à conta do membro inscrito. Monitore o painel do AWS Control Tower em busca de violações e corrija-as adequadamente. Para obter mais informações, consulte Guardrails in AWS Control Tower na AWS documentação.