Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Aunque la mayoría Regiones de AWS están activas de forma predeterminada Cuenta de AWS, algunas regiones solo se activan cuando las seleccionas manualmente. En este documento se hace referencia a dichas regiones como regiones de inscripción. Por el contrario, las regiones que están activas de forma predeterminada, tan pronto como Cuenta de AWS se crea la suya, se denominan regiones comerciales o, simplemente, regiones.
El término inscripción tiene una base histórica. Todas las Regiones de AWS introducidas después del 20 de marzo de 2019 se consideran regiones de inscripción. Las regiones de inscripción tienen requisitos de seguridad más estrictos que las regiones comerciales en lo que respecta al uso compartido de datos de IAM a través de cuentas activas en las regiones de inscripción. Todos los datos administrados a través del servicio de IAM se consideran datos de identidad, incluidos usuarios, grupos, roles, políticas, proveedores de identidades, sus datos asociados (por ejemplo, certificados de firma X.509 o credenciales específicas del contexto) y otras configuraciones de cuenta, como la política de contraseñas y el alias de cuenta.
Puede activar automáticamente las regiones de inscripción durante la configuración de la zona de aterrizaje seleccionándolas. La zona de aterrizaje se activará en todas las regiones seleccionadas.
Si elige seleccionar una región de suscripción como región de origen de AWS Control Tower, actívela primero siguiendo los pasos que se indican en Habilitar una región cuando haya iniciado sesión en la consola AWS de administración. Para incorporar las propias cuentas de archivo de registro y auditoría existentes desde una región de inscripción, active primero dicha región manualmente.
Las regiones AWS opcionales incluyen varias regiones en las que AWS Control Tower está disponible:
-
Región Asia-Pacífico (Hong Kong), ap-east-1
-
Región Asia-Pacífico (Yakarta), ap-southeast-3
-
Región Europa (Milán), eu-south-1
-
Región África (Ciudad del Cabo), af-south-1
-
Región Medio Oriente (Baréin), me-south-1
-
Israel (Tel Aviv), il-central-1
-
Región Medio Oriente (EAU), me-central-1
-
Región Europa (España), eu-south-2
-
Región Asia-Pacífico (Hyderabad), ap-south-2
-
Región Europa (Zúrich), eu-central-2
-
Región Asia-Pacífico (Melbourne), ap-southeast-4
-
Región Oeste de Canadá (Calgary), ca-west-1
AWS Control Tower tiene algunos controles que funcionan de forma diferente en las regiones de inscripción que en las regiones comerciales. Para obtener más información, consulte Limitaciones de control. Estas son algunas consideraciones que debe tener en cuenta al implementar cargas de trabajo en regiones de inscripción.
¿Gobernar o activar?
Recuerde que gobernar una región es una acción que puede seleccionar desde la consola de AWS Control Tower para que los controles se puedan aplicar en la región. Activar o desactivar una región de inscripción es otra acción que puede elegir en la consola de AWS , con la que se abre la región a la cuenta para que pueda implementar recursos y cargas de trabajo en ella.
Consideraciones sobre el comportamiento
-
Si decide regir las regiones de inscripción, le recomendamos que no desactive (excluya) ninguna de las regiones de inscripción gobernadas, ya que esto podría provocar fallos en las cargas de trabajo. La Torre de Control de AWS no permite la desactivación de una región gobernada desde la consola de la Torre de Control de AWS, pero asegúrese de no desactivar las regiones gobernadas desde una fuente ajena a la Torre de Control de AWS, como la consola de AWS facturación o AWS el SDK.
-
Cuando AWS Control Tower amplía la gobernanza a una región de inscripción, activa (inscribe) la región en todas las cuentas de miembro. Al eliminar una región de la gobernanza, AWS Control Tower no desactiva (excluye) la región en las cuentas de miembro.
-
Al anular la selección de una región, AWS Control Tower omite la eliminación de recursos de una región que haya optado por participar si dicha región se desactivó manualmente para una cuenta de una fuente ajena a la Torre de Control de AWS, como la consola de AWS facturación o el SDK. AWS Le recomendamos que elimine los recursos de las regiones que haya desactivado, ya que de lo contrario podría incurrir en cargos de facturación inesperados por dichos recursos.
-
Si la zona de aterrizaje se retira, AWS Control Tower limpia los recursos de todas las regiones gobernadas, incluidas las regiones de inscripción. Sin embargo, AWS Control Tower no desactiva las regiones de inscripción. Puede desactivar las regiones de inscripción como paso adicional tras la retirada.
-
Si la región de origen es una región de inscripción y tiene intención de inscribir las cuentas existentes como cuentas de archivo de registro y de auditoría, debe activar manualmente la región de inscripción antes de poder seleccionarla como región de origen de la zona de aterrizaje. Consulte Habilitar una región.
-
Si AWS Control Tower está configurada con una región opcional como región de origen y si visita el servicio AWS Control Tower desde la consola de cualquier otra región, la AWS consola no lo redireccionará automáticamente a la región de origen.
-
La API subyacente tiene límites de capacidad, lo que puede aumentar la latencia de unos minutos a varias horas, en función del número de regiones, cuentas y carga de servicio. Como práctica recomendada, opte únicamente por aquellas en las que vaya a ejecutar las Regiones de AWS cargas de trabajo y opte por una región a la vez.
Limitaciones importantes de la gobernanza y las cuentas
-
Si se rigen 16 o más regiones comerciales en las que AWS Control Tower está disponible, incluidas las regiones de inscripción, se reduce el límite máximo de cuentas por OU al registrar una OU. Para obtener más información, consulte Limitaciones basadas en los servicios subyacentes. AWS
