本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

故障排除

如果您在使用 AWS Control Tower 时遇到问题，可以根据我们的最佳实践使用以下信息来解决这些问题。如果您遇到的问题超出了以下信息的范围，或者在您尝试解决这些问题后仍然存在，请联系 Su AWS pport。

登录区启动失败

登录区启动失败的常见原因：

确认电子邮件：如果您的管理账户使用时间不到一小时，则在创建其他账户时可能会遇到问题。

要采取的操作

如果您遇到此问题，请查收电子邮件。您可能已经收到了一封等待回应的确认电子邮件。或者，我们建议您等待一个小时，然后重试。如果问题仍然存在，请联系 Supp AWS ort。

失败 StackSets：landing zone 启动失败的另一个可能原因是 AWS CloudFormation StackSet 失败。 AWS 必须在 AWS Control Tower 管理的所有 AWS 区域的管理账户中启用安全令牌服务 (STS) 区域，这样配置才能成功；否则，堆栈集将无法启动。

要采取的操作

在启动 AWS Control Tower 之前，请务必启用所有必需 AWS 的安全令牌服务 (STS) 终端节点区域。

要查看 AWS Con AWS 区域 trol Tower 支持的列表，请参阅AWS 区域如何与 Cont AWS rol Tower 配合使用。

着陆区不是最新的错误

如果您最近没有更新着陆区，则在尝试重新获得 AWS Control Tower 访问权限时可能会收到错误消息。您可能会看到类似于以下内容的错误消息：

Unable to access Control Tower

您的账户已经停用了太长时间。由于处于非活动状态，您必须更新着陆区才能访问 AWS Control Tower。

但是，您的 landing zone 更新可能会失败。

要采取的步骤

登录您组织的管理帐户，然后以 root 用户身份登录。您的 IAM 用户或在 IAM 身份中心的用户必须拥有 AWS Control Tower 管理员权限并且是该AWSControlTowerAdmins群组的一员。然后再次尝试更新。

新账户预置失败

如果遇到此问题，请检查以下常见原因。

请在不指定上述任何选项的情况下重新尝试预置账户。有关更多信息，请参阅 使用 Account Factory 配置 AWS Service Catalog 账户 。

如果您的账户预置用时超过一小时，最好终止预置过程并重试。

无法注册现有账户

如果您尝试注册现有 AWS 账户但注册失败，则再次尝试时，错误消息可能会告诉您堆栈集存在。要继续操作，您必须在账户工厂中删除预置的产品。

如果首次注册失败的原因是您忘了提前在账户中创建 AWSControlTowerExecution 角色，您将收到的错误消息会正确地告诉您创建此角色。但是，当您尝试创建角色时，您可能会收到另一条错误消息，指出 AWS Control Tower 无法创建该角色。出现此错误的原因是该过程已部分完成。

在这种情况下，您必须执行两个恢复步骤，然后才能继续注册现有账户。首先，您必须通过 AWS Service Catalog 控制台终止 Account Factory 配置的产品。接下来，您必须使用 AWS Organizations 控制台手动将账户移出 OU 并移回根目录。完成此操作后，在账户中创建 AWSControlTowerExecution 角色，然后再次填写 Enroll account (注册账户) 表单。

注册失败的另一个可能原因是该账户拥有现有 AWS Config 资源。在这种情况下，请参阅注册拥有现有 AWS Config 资源的账户，了解如何修改现有资源的说明。

无法更新账户工厂账户

当账户处于不一致状态时，无法从 Account Factory 或 Account Factory 成功更新该账户 AWS Service Catalog。

案例 1：您可能会遇到类似以下错误消息：

AWS Control Tower could not baseline VPC in the managed account because of existing resource dependencies.

常见原因：AWS Control Tower 在初始配置期间总是删除 AWS 默认 VPC。要在账户中拥有 AWS 默认 VPC，您必须在创建账户后添加该默认 VPC。AWS Control Tower 有自己的默认 VPC，可以取代 AWS 默认 VPC，除非你按照演练中显示的方式设置 Account Factory，这样 AWS Control Tower 就不会预置 VPC，这样 AWS Control Tower 就根本不会配置 VPC。这样，该账户没有 VPC。如果您想使用 AWS 默认 VPC，则必须重新添加该默认 VPC。

但是，AWS Control Tower 不支持 AWS 默认 VPC。部署一个此 VPC 会导致账户进入 Tainted 状态。当账户处于该状态时，您无法通过更新账户 AWS Service Catalog。

要执行的操作：您必须删除您添加的默认 VPC，然后才能更新账户。

案例 2：您可能会看到类似以下错误消息：

AWS Control Tower detects that your enrolled account has been moved to a new organizational unit.

常见原因：您试图将账户从一个注册的 OU 转移到另一个 OU，但旧的 AWS Config 规则仍然存在。该账户处于不一致的状态。

要采取的行动：

无法更新着陆区

如果更新失败，AWS Control Tower 不会回滚到之前的着陆区版本。你可能会发现你的着陆区处于不确定状态。如果是，请联系 AWS 支持人员。

着陆区更新可能由于多种原因而失败。

未满足先决条件

着陆区更新必须满足与着陆区设置相同的先决条件。在更新之前，请查看发布前检查。

AWS Config 资源存在于安全 OU 账户中

请勿在您的审核和日志存档账户中添加 AWS Config 资源。如果存在这些资源，则无法完成 landing zone 更新过程。这些限制与首次注册账号或设置 landing zone 的限制类似。有关更多信息，请参阅注册拥有现有 AWS Config 资源的账户。

存在已关闭的账户

当账户处于 “已关闭” 或 “已暂停” 状态时，您在尝试更新 landing zone 时可能会遇到问题。在对 landing zone 进行更新之前，您必须删除每个已关闭账户上的预配置产品。

在 AWS Service Catalog 预配置产品页面上，您可能会看到类似于以下内容的错误消息：

AWSControlTowerExecution role can't be assumed on the account.

常见原因：您在未删除预配置产品的情况下暂停了账户。

要采取的措施：如果您看到此错误，则有两种选择：

提及的失败错误 AWS Config

如果 AWS Config 在 AWS Control Tower 支持的任何 AWS 区域中启用，则由于预检查失败，您可能会收到一条错误消息。由于某些潜在的行为，该消息似乎无法充分解释问题 AWS Config。

常见原因：在 AWS 账户上启用该 AWS Config 服务时，它会使用默认命名创建配置记录器和传送渠道。如果您通过控制台禁用该 AWS Config 服务，它不会删除配置记录器或传送渠道。您必须通过 CLI 将其删除，或者对其进行修改以供 AWS Control Tower 使用。如果在 AWS Control Tower 支持的任何一个区域启用了该 AWS Config 服务，则可能会导致此故障。

如果该账户已有 AWS Config 资源，请参阅注册拥有现有 AWS Config 资源的账户，了解如何修改现有资源的说明。

要执行的操作：删除所有受支持区域中的配置记录器和传递通道。仅仅禁用 AWS Config 是不够的，必须通过 CLI 删除配置记录器和传送渠道。从 CLI 中删除配置记录器和交付渠道后，您可以再次尝试启动 AWS Control Tower 并注册账户。

如果您正在部署预配置产品，则必须先删除预配置产品，然后再重试。否则，您可能会看到类似以下错误消息：

在消息中，Stackname指定堆栈的名称。

以下是一些用于确定配置记录器和传送渠道状态的 AWS Config CLI 命令示例。

查看命令：

删除命令：

未找到启动路径错误

当您尝试创建新账户时，您可能会看到类似以下内容的错误消息：

No launch paths found for resource: prod-dpqqfywxxxx

此错误消息由生成 AWS Service Catalog，这是一项帮助在 AWS Control Tower 中配置账户的集成服务。

常见原因：

收到权限不足错误

在某些情况下，您的账户可能不具备执行某些工作的必要权限 AWS Organizations。如果您遇到以下类型的错误，请检查所有权限区域，例如 IAM 或 IAM Identity Center 权限，以确保这些地方没有拒绝您的权限：

You have insufficient permissions to perform AWS Organizations API actions.

如果您认为自己的工作需要您正在尝试的操作，但找不到任何相关的限制，请联系您的系统管理员或 Su AWS pport。

Detective 控制未对账户生效

如果您最近将 AWS Control Tower 部署扩展到一个新 AWS 区域，则在更新受 AWS Control Tower 管理的 OU 中的个人账户之前，新应用的侦探控制不会对您在任何地区创建的新账户生效。对现有账户的现有侦查控制措施仍然有效。

如果您在更新帐户之前尝试启用侦探控件，则可能会看到类似以下错误消息：

AWS Control Tower can't enable the selected control on this OU. AWS Control Tower cannot apply the control on the OU ou-xxx-xxxxxxxx, because child accounts have dependencies that are missing. Update all child accounts under the OU, then try again.

要采取的操作：更新账户。

要通过 AWS Control Tower 控制台更新您的账户，请参阅何时更新 Cont AWS rol Tower OUs 和账号。

要以编程方式更新多个个人账户，您可以使用中的 API AWS Service Catalog 和 AWS CLI 来自动更新。有关如何处理更新过程的更多信息，请参阅此视频演练。 你可以用 UpdateProvisionedProductAPI 代替视频中显示的 ProvisionProductAPI。

如果您在为账户启用侦探控制方面遇到更多困难，请联系 Su AWS pport。

AWS Organizations API 返回的超出速率错误

可能的原因

您的工作负载正在运行，而 AWS Control Tower 正在运行每日扫描以检查您的 SCP 是否存在偏差。

要遵循的步骤

如果您遇到 API 限制或rate exceeded错误，请尝试以下步骤：

可以在此处找到 Elastic Beanstalk 中 API 限制的疑难解答说明示例：https://aws.amazon.com/premiumsupport/knowledge-center/elastic-beanstalk-api-throttling-errors/

无法将 Account Factory 账户直接从一个 AWS Control Tower 着陆区转移到另一个 AWS Control Tower 着陆区

要将您通过 Account Factory 配置的账户转移到另一个由 AWS Control Tower 管理的着陆区，在另一个管理账户下，您必须从原始 OU 中移除所有 IAM 角色和与该账户关联的堆栈。从部署账户的每个区域中移除这些资源。

如果你不移除资源，那么注册新 OU 就会失败，这有点惊人。您可能会遇到一条或多条错误消息，并且会一直收到类似的错误消息，直到剩余的角色和堆栈从部署账户的每个区域中移除。

每次收到错误消息时，都必须将该账户从新 OU 中移除，删除作为错误消息主题的旧资源，然后尝试将该账户移回新 OU。对于部署账户的每个区域， removing-and-deleting 必须对所有剩余资源重复此过程，可能是 10 或 20 次。之所以出现这些反复出现的错误，是因为该账户被配置到具有防止 IAM 角色删除的 SCP 的 OU。在重试之前，您可以删除账户的所有资源，从而缩短恢复过程。

以下示例显示了如果仍有未删除的角色和堆栈，您可能会收到的失败消息类型。只要保留旧资源，每次尝试注册账户时，您很可能会一次看到其中一条消息。

已针对示例修改了资源 ID 字符串的值。在您可能收到的错误消息中，它们的值将不相同。您可能会看到一条类似于以下示例的消息：

或者你可能会看到一条关于堆栈集失败的错误消息，类似于以下内容：

 
"Error\":\"StackSetFailState\",
\"Cause\":\"StackSetOperation on AWSControlTowerBP-BASELINE-CLOUDWATCH 
with id 8aXXXXf5-e0XX-4XXa-bc4XX-dXXXXXee31 
has reached SUCCEEDED state but has 1 NON-CURRENT stack instances; 
here is the summary :{ StackSet Id: 
AWSControlTowerBP-BASELINE-CLOUDWATCH:40XXXbf2-Xead-46a1-XXXa-eXXXXecb2ee2, 
Stack instance Id: 
arn:aws:cloudformation:eu-west-1:1X23456789XX:
            stack/StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-4feXXXXXX-ecXX-XXc6-bXXX-4ae678/4feXXXXXX-ecX-4ae123458, 
Status: OUTDATED, 
Status Reason: ResourceLogicalId:ForwardSnsNotification, 
ResourceType:AWS::Lambda::Function, 
ResourceStatusReason:aws-controltower-NotificationForwarder already exists in stack 
arn:aws:cloudformation:eu-west-1:1X23456789XX:
            stack/StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-4feXXXXXX-ecXX-XXc6-bXXX-4ae678/4feXXXXXX-ecX-4ae123458. 
        

从第一个 OU 中移除所有剩余资源后，您将能够成功邀请、配置账户或将该账户注册到新 OU。

AWS Support

如果要将现有成员账户移动到其他支持计划中，您可以使用根账户凭证登录各个账户，比较计划，然后根据您的意愿设置支持级别。

我们建议您在更改支持计划时更新 MFA 和账户安全联系人。