手动将所需IAM角色添加到现有角色 AWS 账户 并进行注册 - AWS Control Tower

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

手动将所需IAM角色添加到现有角色 AWS 账户 并进行注册

如果您已经设置了 Cont AWS rol Tower 着陆区，则可以开始将组织的帐户注册到已在 Cont AWS rol Tower 注册的 OU 中。如果您尚未设置着陆区，请按照 Cont AWSrol Tower 用户指南入门步骤 2 中所述的步骤进行操作。着陆区准备就绪后，完成以下步骤，手动将现有账户置于 Cont AWS rol Tower 的管理之下。

请务必阅读本章前面注册的先决条件提到的内容。

在向 Cont AWS rol Tower 注册账户之前，您必须授予 Cont AWS rol Tower 管理该账户的权限。为此，您需要添加一个对账户具有完全访问权限的角色，如以下步骤所示。必须对您注册的每个账户执行这些步骤。

对于每个账户：

步骤 1：以管理员权限登录当前包含您要注册的帐户的组织的管理帐户。

例如，如果您从中创建此账户， AWS Organizations 并使用跨账户IAM角色登录，则可以按照以下步骤操作：

  1. 登录贵组织的管理账户。

  2. 转到 AWS Organizations。

  3. 在 “帐户” 下，选择您要注册的账户并复制其账户 ID。

  4. 打开顶部导航栏上的账户下拉菜单，然后选择切换角色。

  5. 在 Switch 角色表单上，填写以下字段：

    • 在 “账户” 下，输入您复制的账户 ID。

    • 在角色下，输入允许跨账户访问此账户的IAM角色名称。该角色的名称是在创建账户时定义的。如果您在创建账户时未指定角色名称，请输入默认角色名称OrganizationAccountAccessRole。

  6. 选择 Switch Role。

  7. 现在，您应该以子女 AWS Management Console 身份登录帐户。

  8. 完成后，请留在子女账户中进行下一部分的手术。

  9. 记下管理账户 ID，因为您需要在下一步中输入它。

第 2 步：授予 Cont AWS rol Tower 管理账户的权限。

  1. 转到 IAM。

  2. 转到 “角色”。

  3. 选择 Create role（创建角色）。

  4. 当系统要求选择该角色的服务时，请选择自定义信任策略。

  5. 复制此处显示的代码示例，然后将其粘贴到政策文档中。替换字符串 管理账户 ID 使用您的管理账户的实际管理账户 ID。以下是要粘贴的政策：

    {
   "Version":"2012-10-17",
   "Statement":[
      {
      "Effect":"Allow",
      "Principal":{
         "AWS": "arn:aws:iam::Management Account ID:root"
         },
         "Action": "sts:AssumeRole",
         "Condition": {} 
      }
   ]
  }

  6. 当被要求附加政策时，选择AdministratorAccess。

  7. 选择下一步: 标签。

  8. 您可能会看到一个标题为 “添加标签” 的可选屏幕。选择 “下一步” 暂时跳过此屏幕：Review

  9. 在 “查看” 屏幕上，在 “角色名称” 字段中输入AWSControlTowerExecution。

  10. 在描述框中输入简短描述，例如允许注册时具有完全的帐户访问权限。

  11. 选择 Create role（创建角色）。

第 3 步：通过将账户转移到已注册的 OU 来注册账户，然后验证注册。

通过创建角色设置必要权限后，请按照以下步骤注册账户并验证注册。

  1. 再次以管理员身份登录并前往 Cont AWS rol Tower。

  2. 注册账户。

    • 在 Cont AWS rol Tower 的 “组织” 页面中，选择您的帐户，然后从右上角的 “操作” 下拉菜单中选择 “注册”。

    • 按照注册账户的步骤页面上显示的注册个人账户的步骤进行操作。

  3. 验证注册。

    • 从 Cont AWS rol Tower 中，选择左侧导航栏中的组织。

    • 查找您最近注册的账户。其初始状态将显示为 “正在注册”。

    • 当状态更改为 “已注册” 时，移动成功。

要继续此过程，请登录组织中要在 Contro AWS l Tower 中注册的每个帐户。对每个账户重复前提步骤和注册步骤。