翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

既存の を登録する AWS アカウント

AWS Control Tower ガバナンスを AWS Control Tower によって既に管理されている組織単位 (OU) に登録 AWS アカウント すると、ガバナンスを個々の既存の に拡張できます。対象アカウントは、AWS Control Tower OUs と同じ AWS Organizations 組織の一部である未登録の OU に存在します。

信頼されたアクセスを最初にセットアップする

既存の AWS アカウント を AWS Control Tower に登録する前に、AWS Control Tower が アカウントを管理または管理するアクセス許可を付与する必要があります。具体的には、AWS Control Tower には、ユーザーに代わって AWS CloudFormation と の間に信頼 AWS Organizations されたアクセスを確立するためのアクセス許可が必要です。これにより、 AWS CloudFormation は選択した組織内のアカウントにスタックを自動的にデプロイできます。この信頼されたアクセスでは、AWSControlTowerExecution ロールは、各アカウントを管理するために必要なアクティビティを実行します。そのため、登録する前にこのロールを各アカウントに追加する必要があります。

信頼されたアクセスが有効になっている場合は、1 回のオペレーション AWS リージョン で複数のアカウントおよび のスタックを作成、更新、または削除 AWS CloudFormation できます。AWS Control Tower はこの信頼機能を使用して既存のアカウントにロールとアクセス許可を適用します。その後、それらを登録済み組織単位に移動して、管理下に置くことができます。

信頼されたアクセスと の詳細については AWS CloudFormation StackSets、「」およびAWS CloudFormationStackSetsAWS Organizations「」を参照してください。

アカウント登録中の処理

登録プロセス中に、AWS Control Tower は以下のアクションを実行します。

VPC を使用した既存のアカウントの登録

アカウントが前提条件を満たしていない場合

前提条件として、AWS Control Tower ガバナンスに登録できるアカウントは、同じ組織全体に属している必要があります。アカウント登録の前提条件を満たすには、以下の準備のステップに従って、AWS Control Tower と同じ組織にアカウントを移動できます。

これらの準備手順が完了したら、AWS Control Tower にアカウントを登録できます。詳細については、「アカウントを登録する手順」を参照してください。このステップにより、アカウントが AWS Control Tower の完全な管理下に入ります。

リソースステータスの AWS Config CLI コマンドの例

設定レコーダーと配信チャネルのステータスを判断するために使用できる AWS Config CLI コマンドの例を次に示します。

表示コマンド:

通常の応答は "name": "default" のようになります。

削除コマンド:

AWS Organizations アカウントの自動登録

「既存の AWS アカウントを AWS Control Tower に登録する」というブログ記事で説明されている登録方法を使用して、プログラムによるプロセスでアカウント AWS Organizations を AWS Control Tower に登録できます。

次の YAML テンプレートを使用すると、アカウントに必要なロールを作成してプログラム的に登録できます。

AWSTemplateFormatVersion: 2010-09-09
Description: Configure the AWSControlTowerExecution role to enable use of your
  account as a target account in AWS CloudFormation StackSets.
Parameters:
  AdministratorAccountId:
    Type: String
    Description: AWS Account Id of the administrator account (the account in which
      StackSets will be created).
    MaxLength: 12
    MinLength: 12
Resources:
  ExecutionRole:
    Type: AWS::IAM::Role
    Properties:
      RoleName: AWSControlTowerExecution
      AssumeRolePolicyDocument:
        Version: 2012-10-17
        Statement:
          - Effect: Allow
            Principal:
              AWS:
                - !Ref AdministratorAccountId
            Action:
              - sts:AssumeRole
      Path: /
      ManagedPolicyArns:
        - !Sub arn:${AWS::Partition}:iam::aws:policy/AdministratorAccess