Security Hub CSPM の中央設定をセルフマネージドに設定しましたが、委任管理者アカウントとの関連付けが残るのはなぜですか

状況

Security hub CSPM の中央設定を利用しています。
特定アカウントのみアカウント自身で Security Hub CSPM の設定を管理するため、中央設定でセルフマネージドに設定しましたが、一部のリージョンでは委任管理者アカウントの関連付けが残り、アカウント自身で設定できませんでした。

原因

中央設定の設定ポリシー及びセルフマネージドの設定は、クロスリージョン集約のホームリージョンおよびすべてのリンクされたリージョンにしか適用されません。
そのため、リンクされたリージョンに含まれていないリージョンは関連付けが残ってしまいます。

対応方法

委任管理者アカウント側で関連付けが残っているリージョン毎に特定アカウントの関連付けを解除してください。
関連付けの解除を行うことでクロスリージョン集約に含まれていないリージョンもアカウント自身で設定が可能になります。

組織から Security Hub CSPM メンバーアカウントの関連付けを解除する

参考

・中央設定がクロスリージョン集約に与える影響

設定ポリシーは、ホームリージョンおよびすべてのリンクされたリージョンで有効になります。

・ポリシーに関する考慮事項

設定ポリシーがリソースである — リソースとして、設定ポリシーには、Amazon リソースネーム (ARN) と一意識別子 (UUID) があります。ARN は次の形式を使用します: arn:partition:securityhub:region:delegated administrator account ID:configuration-policy/configuration policy UUID。セルフマネージド設定には ARN または UUID はありません。セルフマネージド設定の識別子は、SELF_MANAGED_SECURITY_HUB です。