註冊或重新註冊期間失敗的常見原因 - AWS Control Tower

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

註冊或重新註冊期間失敗的常見原因

一般而言，當您註冊或重新註冊 OU 時，該 OU 中的所有帳戶都會在 AWS Control Tower 中註冊。不過，即使整體 OU 註冊成功，某些帳戶仍可能無法註冊。在這些情況下，您必須解決與帳戶相關的預先檢查失敗，然後嘗試重新註冊該帳戶或 OU。

如果 OU 或其任何成員帳戶的註冊 （或重新註冊） 失敗，AWSControl Tower 會傳回受影響成員帳戶的錯誤訊息。您可以在 OU 詳細資訊頁面上檢視錯誤訊息，其中資料表會彙總預先檢查和帳戶錯誤訊息。如果註冊 OU 操作失敗，資料表會顯示 OU 下所有帳戶的所有錯誤訊息。如有需要，您也可以在帳戶詳細資訊頁面上檢視每個帳戶的錯誤訊息。

或者，您可以下載包含詳細報告的檔案，顯示哪些預先檢查未通過，以進行離線分析。您可以選擇位於註冊區域右上角的下載按鈕來完成下載。

本節列出預先檢查失敗時可能收到的錯誤類型，以及如何修正錯誤。

登陸區域錯誤

  • 登陸區域未就緒

    重設您目前的登陸區域，或將其更新至最新版本。

OU 錯誤

  • 超過最大數量 SCPs

    您可能超過每個 OU 的服務控制政策 （SCPs） 的限制，或者您可能已達到另一個配額。SCPs 每個 OU 限制 5 適用於 OUs AWS Control Tower 登陸區域中的所有 。如果您SCPs超過配額允許，則必須刪除或合併 SCPs。

  • 衝突 SCPs

    現有的 OU 或 帳戶SCPs可能會套用到 OU 或 帳戶，這會導致 AWS Control Tower 無法註冊 帳戶。檢查套用SCPs的任何政策是否可能使 AWS Control Tower 無法運作。請務必檢查從階層中的OUs較高SCPs層級繼承的 。

  • 超過堆疊集配額

    堆疊集配額可能已超過。如果您有超過配額允許的執行個體，則必須刪除一些堆疊執行個體。如需詳細資訊，請參閱 AWS CloudFormation 使用者指南 中的AWS CloudFormation 配額。

  • 超過帳戶限制

    AWS Control Tower 在註冊期間將每個 OU 限制為 1000 個帳戶。

帳戶錯誤

  • 帳戶已禁止預先檢查

    OU SCP上現有的 可防止 AWS Control Tower 對您的 OU 成員帳戶執行預先檢查。若要解決此預先檢查失敗，SCP請從 OU 更新或移除 。

  • 電子郵件地址錯誤

    您為帳戶指定的電子郵件地址不符合命名標準。以下是指定允許哪些字元的規則運算式 （regex）： [A-Z0-9a-z._%+-]+@[A-Za-z0-9.-]+[.]+[A-Za-z]+

  • 已啟用組態記錄器或交付管道

    帳戶可能具有現有的 AWS Config 組態記錄器或交付管道。您必須先 AWS CLI 在 AWS Control Tower 管理帳戶具有受管資源的所有 AWS 區域中，透過 刪除或修改這些項目，才能註冊帳戶。

  • STS 已停用

    AWS Security Token Service （AWS STS） 可能會在 帳戶中停用。 AWS STS端點必須在 AWS Control Tower 支援的所有 區域中在 帳戶中啟用。

  • IAM Identity Center 衝突

    AWS Control Tower 主區域與 AWS IAM Identity Center （IAM Identity Center） 區域不同。如果已設定 IAM Identity Center，AWSControl Tower 主區域必須與 IAM Identity Center 區域相同。

  • 衝突SNS主題

    帳戶具有 AWS Control Tower 需要使用的 Amazon Simple Notification Service （Amazon SNS） 主題名稱。AWS Control Tower 會建立具有特定名稱的資源 （例如SNS主題）。如果已使用這些名稱，AWSControl Tower 設定會失敗。如果您重複使用先前在 AWS Control Tower 中註冊的帳戶，可能會發生這種情況。

  • 偵測到已暫停的帳戶

    此帳戶已暫停。它無法註冊到 AWS Control Tower。從此 OU 中移除帳戶，然後再試一次。

  • IAM 使用者不在產品組合中

    在註冊 OU 之前，將 AWS Identity and Access Management （IAM） 使用者新增至 Service Catalog 產品組合。此錯誤僅適用於 管理帳戶。

  • 帳戶不符合先決條件

    帳戶不符合帳戶註冊的先決條件。例如，帳戶可能缺少在 AWS Control Tower 中註冊帳戶所需的角色和許可。新增角色的指示可在 中找到手動將所需IAM角色新增至現有 AWS 帳戶 並註冊。

提醒您，當您在 AWS Control Tower 中註冊所有 AWS 帳戶時， AWS CloudTrail 會自動啟用。如果在註冊之前在 帳戶上啟用 CloudTrail ，則除非您在開始註冊程序 CloudTrail 之前停用 ，否則可能會產生重複計費。