解除 landing zone 後的設置 - AWS Control Tower

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

解除 landing zone 後的設置

解除委任登陸區域之後，在手動清理完成之前，您無法再次成功執行安裝程式。此外，如果沒有手動清理這些剩餘資源，您可能會產生意外的帳單費用。您必須注意以下問題：

  • AWS Control Tower 管理帳戶是 AWS Control Tower 根 OU 的一部分。請確定這些 IAM 角色和 IAM 政策已從管理帳戶中移除：

    • 角色：

      - AWSControlTowerAdmin

      - AWSControlTowerCloudTrailRole

      - AWSControlTowerStackSetRole

    • 政策：

      - AWSControlTowerAdminPolicy

      - AWSControlTowerCloudTrailRolePolicy

      - AWSControlTowerStackSetRolePolicy

  • 您可能希望先刪除或更新 AWS Control Tower 的現有 IAM 身分中心組態，然後再次 landing zone，但不需要將其刪除。

  • 您可能希望移除 AWS Control Tower 建立的 VPC。

  • 如果為記錄或稽核帳 AWS 戶指定的電子郵件地址與現有帳戶相關聯，則安裝程式會失敗。您可以關閉 AWS 帳戶，或使用不同的電子郵件地址重新設定 landing zone。或者，您可以重複使用這些現有的共享帳戶，並具有允許您攜帶自己的日誌記錄和審計帳戶的功能。如需詳細資訊，請參閱 使用現有安全性或記錄帳戶的考量。

  • 如果記錄帳戶中已存在具有下列保留名稱的 Amazon S3 儲存貯體，則安裝失敗：

    • aws-controltower-logs-{accountId}-{region} (用於日誌儲存貯體)。

    • aws-controltower-s3-access-logs-{accountId}-{region} (用於日誌記錄存取儲存貯體)。

    您必須重新命名或移除這些儲存貯體，或為日誌帳戶使用不同的帳戶。

  • 如果管理帳戶在記錄檔中具有現有的 CloudWatch 記錄群組aws-controltower/CloudTrailLogs，安裝程式會失敗。您必須重新命名或移除日誌群組。

在您設置一個新的 AWS 區域

如果您打算在新區 AWS 域中設置新的 landing zone，請遵循以下其他步驟。

  • 透過 CLI 輸入下列指令：

    aws organizations disable-aws-service-access --service-principal controltower.amazonaws.com

  • 從所有受控管區域的共用帳戶和成員帳戶中刪除其餘的受管理規則 (稱為AWSControlTowerManagedRule)。

注意

您無法在具有名為「安全性」或「沙箱」的頂層 OU 的組織中設定新的 landing zone。您必須重新命名或移除這些 OU，才能再次設定登陸區域。