潜んでいたリスクを可視化する
クラウド診断サービスで
安全かつ最適なクラウド運用が実現
はじめに
こんにちは。クラウド活用推進担当、新人の安田です。 初めての投稿になりますが、最後まで読んでいただければ幸いです。
今回は、AWSアカウントをAWS Control Towerから作り直そうとした際に発生したエラーと、その解決方法についてお話しします。
目次
アカウント管理環境
AWS OrganizationsとAWS Control Towerでアカウントを管理しています。 新規にアカウントを作成する際は、AWS Control TowerのAWS Account Factoryを使用しています。
やりたかったこと
個人が作成したAWSアカウントをAWS Control Towerのメンバーアカウントとして招待するのではなく、AWS Control Towerからアカウントを作成することで管理しようとしました。
エラー発生まで
AWS Organizationsでアカウントを管理するため、既存のアカウントIDをAWS Organizationsに招待し、AWS Control Towerに登録しようとしましたが、以下のエラーが発生しました。
AWS Control Tower is unable to assume the AWSControlTowerExecution role in the account. Add the role to your account if it's not present, and try again.
このエラーは、下記のサイトを参考にControl Tower用のIAM Roleを確認することで、解決できます。
既存のAWSアカウントをAWS Control Towerのメンバーアカウントとして移管してみた
Control Tower用のIAM Roleをアカウント使用者に確認してもらうのも手間だったため、今回はアカウントを作り直すことにしました。
しかし、このままアカウントを閉鎖してしまうと新しいメールアドレスが必要になるため、
以下の手順でメールアドレスの変更しました：
- AWS OrganizationsからアカウントのEメールを変更。
- AWS Control TowerからIAM Identity CenterユーザーのEメールも念のため変更。
- アカウントを閉鎖。
旧アカウントを閉鎖後、AWS Control TowerのAccount Factoryから旧メールアドレスでアカウントを作成しようとしたところ、 AWS Service Catalogでエラーが発生しました。
やったこと
以下の方法を試しましたが、エラーは解決せず、最終的にAWSサポートに連絡しました。
・AWS Service Catalogから該当のProvisioned Productsを削除し、AWS Control Towerから再度アカウントを作成
・閉鎖したアカウントをAWS Organizationsから別のOUに移動させ、該当のProvisioned Productsを削除し、アカウントを作成
・1日放置して再度作成を試みる
解決方法
AWSサポートに問い合わせたところ、旧アカウントの閉鎖時にAWS Control Tower からの管理を解除していなかったことが原因でした。AWS Control Towerのアカウントを閉鎖する際は、管理を解除することがベストプラクティスだそうです。
閉鎖した状態では管理を解除できないため、以下の手順で管理を解除しました：
- AWSサポートに連絡してアカウントを再開
- 再開後、管理アカウントからControl Towerコンソールにアクセス
- 「組織」タブを選択
- 対象のアカウントを選択
- 「アクション」メニューから「管理を解除」を選択
管理を解除した後は、問題なくAWS Control Towerからアカウントを作成することができました。
まとめ
メールアドレスを再利用して新しいアカウントを作成する場合、AWS Control Towerの管理から旧アカウントを解除する必要がある
今回の事例についてまとめているサイトが見つからなかったので記事にしました。 Account Factory で作成されたアカウントを解約するときのベストプラクティスを事前に確認していれば、このような問題は避けられたと思います。事前に調べて対応することの重要性を学びました。
この記事が同じエラーで悩んでいる方の参考になれば幸いです。 今後も有益な情報をお届けできるよう努めてまいりますので、どうぞよろしくお願いいたします。
参考リンク
Account Factory で作成されたアカウントを解約する