Control Towerを廃止して東京リージョンで再有効化してみた – 再有効化編

Control Towerを廃止して別リージョンで有効化する記事です。イレギュラーな作業なので十分に注意しましょう。前回のブログから通してご確認ください。

臼田佳祐

2021.05.30

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、臼田です。

みなさん、AWSのアカウント管理してますか？(挨拶

本ブログはControl Towerを廃止して再有効化する以下のブログの続きです。

前回は廃止まででしたが、今回再有効化して完了とします。

再有効化の流れ

前回から何度も繰り返しますが、この作業はイレギュラーな作業なので、ユーザーガイドをよく読み時間に余裕を持って、途中で失敗してもサポートに頼りながらなんとでもなるように実施しましょう。

主に確認しておくドキュメントは前述の既存の組織でControl Towerを有効化する部分と、登録時の一般的な失敗要因あたりです。

再有効化は大きく2フェーズに別れます。Control Tower自体の有効化と、OU/アカウントの登録(取り込み)です。Control Towerを有効化しただけでは、Organizations配下の他のアカウントは取り込まれません。

具体的な廃止から再有効化までは以下のような作業が必要になります。

旧CoreOUのリネーム
旧CoreOUの各アカウントのリネーム
SecurityOU配下に作成する新アカウント(Audit/Log Archive)の準備
各アカウントConfigクリーンアップ確認
STS有効化確認
東京でControl Tower再有効化
各OUの追加
追加SCP/SSO設定/Control Tower拡張

既存のOUやアカウントの扱い、状態によってはこれ以外も必要になると思いますのでドキュメントやエラー文を参考にしてください。

やってみた

旧CoreOUのリネーム

OUの名前については、新規で作成するものがもともと存在するOU名とかぶらないようにする必要があります。

現状新規で作成されるのはSecurityOUやSnadboxOUですが、前者はリネーム可能、後者はリネームや非作成の選択が可能です。そして以前はこれらはCoreOU/CustomOUという名前でした。

そんな経緯もあると思いますが、CoreOUをそのまま残しておいても重複することは無いのですが、コンソールからControl Towerを有効化しようとしたら、リネームするように以下の警告がでました。というわけで対応します。

ちなみに上記警告はConfigのOrganizations連携についても無効化するように書かれているため、これも行いましょう(前回のブログに追記しました)。

OUのリネームはOrganizationsコンソールでOUを選択して「名前の変更」を選択します。

適当にリネームします。

Customも同様に変更します。

旧CoreOUの各アカウントのリネーム

SecurityOUに作成される2つの共有アカウント(Audit / Log Archive)は作成時に名前を変えることができるようになりました。ただ名前の重複はできないので新しいアカウントをAudit / Log Archiveとするため既存のアカウントをリネームします。もしかしたらそのまま残しておいて、新しいものをリネームしても良いかもしれません。

アカウントのリネームは管理アカウントのControl TowerやOrganizationsから変更することはできません。各アカウントのルートアカウント(ルートユーザー)でログインして変更します。

アカウント設定から「編集」で変えます。