アノテーション 顧客推進チーム（構築担当）のいたくらです。
Control Tower で既存メンバーアカウントを Control Tower に登録しようとした際に、タイトルにあるエラーが出る場合があります。
この場合にどういった対応をすれば解消するかをまとめました。
はじめに
Control Tower のランディングゾーンを設定後、組織に属する既存メンバーアカウントを Control Tower に登録すると思います。
その際に、以下のようなエラーが出る場合があります。
エラー内容はこちらです。
AWS Control Tower はアカウントを登録できません。AWS Service Catalog のプロビジョニング済み製品にエラーがあります: No launch paths found for resource: prod-xxxxx
このエラーを解消する対応を紹介します。
前提
- Control Tower のランディングゾーンは設定済み
- 既存メンバーアカウントの Control Tower 登録作業は、IAM Identity Center（以降 IIC と表記）ユーザで実施する
- 許可セット「AdministratorAccess」を作成して、管理アカウントに対して割り当て済み
- 許可する AWS マネージドポリシー: AdministratorAccess
結論
Control Tower 登録作業を実施する IIC ユーザが使用する許可セットに対応する IAM ロールが、AWS Control Tower Account Factory Portfolio にアクセスできるように設定します。
参考: トラブルシューティング - AWS Control Tower
やってみた
実際に管理アカウント上で設定してみました。
Step1 : AWS Service Catalog での設定
AWS Service Catalog のサービスページに移動します。
ポートフォリオの一覧から、AWS Control Tower Account Factory Portfolio をクリックします。
先ほどのエラーメッセージに記載されていた製品 ID（prod-xxxxx）が一致していることを確認します。
「アクセス」タブをクリックして、「アクセス権の付与」をクリックします。
アクセスタイプが IAM Principal であることを確認します。
「ロール」タブをクリックし、検索欄に sso と入力して、AWSReservedSSO_ から始まるロールをクリックします。
※ Control Tower への登録作業をする IIC ユーザが、許可セット「AdministratorAccess」を使用するため、AWSReservedSSO_AdministratorAccess_ から始まるロールを選択しています
最後に「アクセス権を付与」をクリックします。
画面を更新し、「アクセス」タブに先ほど追加した IAM プリンシパル（ロール）が表示されていれば OK です。
Step2 : Control Tower で登録を実施
AWS Control Tower のサービスページに移動します。
「組織」画面にて、登録したいアカウントを選択し、アクションから「登録」をクリックします。
先ほどまで表示されていたエラーが消えたことが確認できます。
この状態で「アカウントの登録」を進めましょう。
【注意】
「アカウントの登録」をクリックする前に、下記項目をクリアしているか確認してください。
- AWSControlTowerExecution ロールを作成しているか
- 管理対象リージョンの AWS Config を無効化 (設定レコーダー・配信チャネルがない) しているか
- サポートするすべてのリージョンの AWS STS を有効化しているか
参考: AWS-Black-Belt_2023_AWS-ControlTower-Procedures_0831_v1.pdf → 46 ページ参照
あとがき
Control Tower のランディングゾーン設定時の「AWS アカウントアクセス設定」で、IAM Identity Center またはその他の方法によるセルフマネージド型 AWS アカウントアクセス を選択した場合は、このアクセス権の付与が必要になるのでお気を付けください。
この記事がどなたかのお役に立てれば幸いです。
アノテーション株式会社について
アノテーション株式会社はクラスメソッドグループのオペレーション専門特化企業です。
サポート・運用・開発保守・情シス・バックオフィスの専門チームが、最新 IT テクノロジー、高い技術力、蓄積されたノウハウをフル活用し、お客様の課題解決を行っています。
当社は様々な職種でメンバーを募集しています。
「オペレーション・エクセレンス」と「らしく働く、らしく生きる」を共に実現するカルチャー・しくみ・働き方にご興味がある方は、アノテーション株式会社 採用サイトをぜひご覧ください。
0
