AWS Control Tower またはを使用して、アカウントファクトリアカウントの更新と移動を行います。 AWS Service Catalog

登録したアカウントを更新する最も簡単な方法は、AWS Control Tower コンソールから行うことです。個々のアカウントの更新は、移動されたメンバーアカウント のようなドリフトを解決するのに役立ちます。ランディングゾーンの完全な更新の一部として、アカウントの更新も必要です。

ある組織単位 (OU) から別の OU にアカウントを移動する場合、新しい OU によって適用されるコントロールが以前の OU のコントロールとは異なる場合があることに注意してください。新しい OU のコントロールがアカウントのポリシー要件を満たしている必要があります。

アカウントが OU 間を移動するときのコントロールの動作

アカウントを OU 間で移動するとき、宛先 OU のコントロールがアカウントに適用されます。ただし、以前の OU のアカウントに適用されていたコントロールは削除されません。コントロールの正確な動作は、以前の OU と宛先 OU でアクティブなコントロールの実装に固有です。

• AWS Config ルールを使用して実装された統制:以前の OU の統制 削除されません。このようなコントロールは手動で削除する必要があります。

• SCP で実装された統制:以前の OU の SCP ベースの統制は 削除されました。宛先 OU の SCP ベースの制御がこのアカウントで有効になります。

• AWS CloudFormation フックを使用して実装されたコントロールの場合: この動作は、新しい OU のコントロールのステータスによって異なります。

  • 宛先 OU でフックベースのコントロールが有効になっていない場合: 古いコントロールは、手動で削除しない限り、移動したアカウントに対して有効なままとなります。

  • 宛先 OU でフックのコントロールが有効になっている場合: 古いコントロールは削除され、宛先 OU のコントロールがアカウントに適用されます。

コンソールでアカウントを更新する

AWS Control Tower コンソールでアカウントを更新するには

1. AWS Control Tower の [Organization] (組織) ページに移動します。

2. OU のリストで、更新するアカウントの名前を選択します。更新可能なアカウントには、[Update available] (更新可能) のステータスが表示されます。

3. 次に、選択したアカウントのページの [Account details] (アカウントの詳細) が表示されます。

4. 右上の [Update account] (アカウントの更新) を選択します。

プロビジョニング済み製品の更新

次の手順では、Service Catalog を使用して、アカウントのプロビジョニング済み製品を更新することにより、Account Factory のアカウントを更新したり、新しい OU に移動したりする方法を示します。

Account Factory アカウントを更新したり、Service Catalog からその OU を変更したりするには

1. AWS 管理コンソールにサインインし、https://console.aws.amazon.com/servicecatalog/ AWS Service Catalog でコンソールを開きます。

   注記

   Service Catalog で新しい製品をプロビジョニングする許可を持つユーザーとしてサインインする必要があります (例えば、AWSAccountFactory グループまたは AWSServiceCatalogAdmins グループの IAM Identity Center ユーザー)。

2. ナビゲーションペインで [Provisioning] (プロビジョニング) を選択し、次に [Provisioned products] (プロビジョニング済み製品) を選択します。

3. 一覧表示されているメンバーアカウントごとに以下のステップを実行して、すべてのメンバーアカウントを更新します。

   1. メンバーアカウントを選択します。そのアカウントの [Provisioned product details] (プロビジョニングされた製品の詳細) ページが表示されます。

   2. [Provisioned product details] (プロビジョニングされた製品の詳細) ページで、[Events] (イベント) タブを選択します。

   3. 以下のパラメータを書き留めます。

      • SSO UserEmail (プロビジョニング済み製品の詳細に記載されています)

      • AccountEmail(プロビジョニング済み製品の詳細で利用可能)

      • SSO UserFirstName (IAM アイデンティティセンターで利用可能)

      • SSOU SerLastName (IAM アイデンティティセンターで利用可能)

      • AccountName(IAM ID センターで利用可能)

   4. [Actions] (アクション) で、[Update] (更新) を選択します。

   5. 更新する製品の [Version] (バージョン) の横にあるボタンを選択して、[Next] (次へ) を選択します。

   6. 前に説明したパラメータ値を入力します。

      • 既存の OU を維持したい場合は、アカウントがすでに存在していた OU を選択してください。ManagedOrganizationalUnit

      • アカウントを新しい OU に移行する場合はManagedOrganizationalUnit、アカウントの新しい OU を選択してください。

      中央のクラウド管理者は、この情報を AWS Control Tower コンソールの [Organization] (組織) ページで見つけることができます。

   7. [Next] (次へ) を選択します。

   8. 変更内容を確認し、[Update] (更新) を選択します。このプロセスには、アカウントごとに数分かかることがあります。