Wie behebe ich den Fehler „Not authorized to baseline the VPC in the enrolled account“ in AWS Control Tower?

Kurzbeschreibung

Du erhältst den folgenden Fehler, wenn du versuchst, eine Landing Zone einzurichten oder zu aktualisieren:

„AWS Control Tower failed to set up your landing zone completely: AWS Control Tower is not authorized to baseline the VPC in the enrolled account.“

Du erhältst den folgenden Fehler, wenn du AWS Control Tower Account Factory verwendest, um ein AWS-Konto zu erstellen oder ein registriertes Konto zu aktualisieren:

„AWS Control Tower could not enroll your account for the following reason: AWS Control Tower is not authorized to baseline the VPC in the enrolled account.“

Die vorherigen Fehler können aus folgenden Gründen auftreten:

• AWS Control Tower verfügt über unzureichende Berechtigungen, um die erforderlichen Amazon Virtual Private Cloud (Amazon VPC)-Aktionen auszuführen. Dies geschieht beispielsweise, wenn die Aktionen der IAM-Rolle (AWS Identity and Access Management) AWSControlTowerExecution eingeschränkt sind. Du kannst Service-Kontrollrichtlinien (SCPs) oder mit der Rolle verknüpfte Richtlinien verwenden, um die Aktionen der Rolle einzuschränken.
• AWS Control Tower kann die vorhandene Standard-VPC in deinen verwalteten AWS-Regionen aufgrund ihrer Ressourcenabhängigkeiten nicht löschen.

Hinweis: Wenn du Account Factory zum Erstellen eines Kontos verwendest, löscht AWS Control Tower automatisch die Standard-Amazon VPC. Außerdem konfiguriert AWS Control Tower in deinen verwalteten Regionen nur dann eine neue Amazon VPC, basierend auf deiner Account Factory-Netzwerkkonfiguration. Wenn du ein bestehendes Konto registrierst, entfernt AWS Control Tower die Standard-Amazon VPC nicht und erstellt keine neue Amazon VPC für dieses Konto.

Lösung

Hinweis: Wenn du Fehler bei der Ausführung von AWS Command Line Interface (AWS CLI)-Befehlen erhältst, lies Behebung von Fehlern für den AWS CLI. Stelle außerdem sicher, dass du die neueste Version der AWS CLI verwendest.

Wichtig: Ein Mitgliedskonto bezieht sich auf verschiedene Konten, basierend auf deinem Fehlertyp. Führe bei Landing Zone-Fehlern die Schritte in den Konten Protokollarchiv und Prüfung aus. Diese Konten sind auch als Freigabe- oder Integrationskonten bekannt. Führe bei Fehlern bei der Kontoregistrierung die Schritte in dem Mitgliedskonto aus, das nicht registriert werden konnte.

CloudTrail-Ereignisse im Mitgliedskonto überprüfen

Um die fehlgeschlagene Aktion zu identifizieren, führe die folgenden Schritte in all deinen AWS Control Tower-Regionen aus:

1. Öffne die AWS CloudTrail-Konsole in dem Mitgliedskonto, das nicht registriert werden konnte, und wähle dann Event history (Ereignisverlauf) aus.
2. Wähle aus dem Menü Lookup attributes (Suchattribute) die Option Event source (Ereignisquelle) aus.
3. Gib im Suchfeld ec2.amazonaws.com als Ereignisquelle ein.
4. Wähle das Feld Filter by date and time (Nach Datum und Uhrzeit filtern) aus und wähle dann Absolute range (Absoluter Datumsbereich).
5. Gib Startdatum, Enddatum und Uhrzeit des Zeitraums ein, in dem der Vorgang fehlgeschlagen ist, und wähle dann Apply (Anwenden) aus.
6. Wähle das Einstellungssymbol aus, aktiviere Error Code (Fehlercode) und wähle dann Confirm (Bestätigen) aus.
7. Um fehlgeschlagene Ereignisse zu identifizieren, suche in der Spalte Error code (Fehlercode) nach den Fehlercodes UnauthorizedOperation, AccessDenied, DependencyViolation oder CannotDelete.
8. Wähle das Ereignis aus, um eine detaillierte Fehlermeldung anzuzeigen.
9. Überprüfe die Fehlermeldung des fehlgeschlagenen CloudTrail-Ereignisses, um die wahrscheinliche Ursache zu ermitteln. Wenn die Fehlermeldung auf einen Fehler wegen fehlender Autorisierung oder unzureichender Berechtigungen hinweist, führe die Schritte im Abschnitt Verify SCPs and AWSControlTowerExecution role permissions (SCPs und Berechtigungen der Rolle AWSControlTowerExecution überprüfen) aus. Wenn sich der Fehler auf eine Ressourcenabhängigkeit bezieht, führe die Schritte im Abschnitt Identify and resolve default VPC dependency in AWS Control Tower Regions (Standard-VPC-Abhängigkeit in AWS Control Tower-Regionen identifizieren und beheben) aus.

SCPs und Berechtigungen der Rolle AWSControlTowerExecution überprüfen

Die IAM-Rolle AWSControlTowerExecution muss über die AdministratorAccess-Richtlinie mit einer Vertrauensstellung zum Verwaltungskonto von AWS Organizations verfügen. Stelle sicher, dass die SCPs von Organisationen oder die mit der IAM-Rolle verknüpften Richtlinien die Aktionen der Rolle nicht einschränken.

Führe die folgenden Schritte aus:

1. Öffne die Organizations-Konsole in deinem AWS Control Tower-Verwaltungskonto.
2. Wähle im Navigationsbereich AWS accounts (AWS-Konten) aus.
3. Suche im Suchfeld nach der Konto-ID, die nicht registriert werden konnte, und wähle sie aus.
4. Wähle die Registerkarte Policies (Richtlinien) und stelle sicher, dass die SCP FullAWSAccess an alle Entitäten von Organisationen angehängt ist, einschließlich Root, Organisationseinheit (OU) und Konto.
5. Überprüfe alle angefügten SCPs, um Einschränkungen für ec2-Aktionen zu identifizieren.
6. Trenne benutzerdefinierte SCPs vorübergehend von der Entität. Oder ändere die SCPs so, dass sie einen Block Bedingung verwenden, um die IAM-Rolle AWSControlTowerExecution auszunehmen.

Die folgende beispielhafte SCP verweigert alle Amazon Elastic Compute Cloud (Amazon EC2)-Aktionen, außer wenn sie von der Rolle AWSControlTowerExecution ausgeführt werden:

{
   "Version":"2012-10-17",
   "Statement": [
       {
           "Sid": "Statement1",
           "Effect": "Deny",
           "Action": "ec2:*",
           "Resource": "*",
           "Condition": {
               "ArnNotLike": {
                   "aws:PrincipalARN": [
                       "arn:aws:iam::*:role/AWSControlTowerExecution"
                   ]
               }
           }
       }
   ]
}

Standard-VPC-Abhängigkeit in AWS Control Tower-Regionen identifizieren und beheben

AWS Control Tower kann die vorhandene Standard-VPC in deinen verwalteten Regionen aufgrund ihrer Ressourcenabhängigkeiten nicht löschen. Führe die folgenden Aktionen aus, um die Standard-VPCs in deinen AWS Control Tower-Regionen zu finden und manuell zu löschen.

Standard-VPCs suchen

Du kannst AWS Global View, die Amazon VPC-Konsole oder die AWS CLI verwenden, um Standard-VPCs in den AWS Control Tower-Regionen von Mitgliedskonten zu finden.

AWS Global View

Verwende AWS Global View, um all deine VPC-Ressourcen in mehreren Regionen gleichzeitig in einer einzigen Ansicht aufzulisten. Überprüfe unter Zeigen Sie Ressourcen in verschiedenen Regionen an mit AWS Global View den Abschnitt Erforderliche Berechtigungen und folge den Schritten unter Zur Verwendung AWS Global View.

Wähle die VPC-IDs für deine verwalteten Regionen aus, um zu überprüfen, ob Default VPC (Standard-VPC) auf YES (JA) festgelegt ist.

Amazon VPC-Konsole

Führe die folgenden Schritte in jeder AWS Control Tower-Region aus:

1. Melde dich bei deinem Mitgliedskonto an und öffne dann die Amazon VPC-Konsole.
2. Wähle im Navigationsbereich die Option Your VPCs (Ihre VPCs) aus.
3. Identifiziere die VPCs, bei denen Default VPC (Standard-VPC) auf Yes (Ja) festgelegt ist.

AWS CLI

Um die AWS CLI zu verwenden, führe das folgende Bash-Skript in deinem Mitgliedskonto aus:

for region in $(aws ec2 describe-regions \
   --all-regions \
   --query 'Regions[?OptInStatus!=`not-opted-in`].RegionName' \
   --output text); do

   vpc=$(aws ec2 describe-vpcs \
       --filters Name=isDefault,Values=true \
       --region "$region" \
       --query 'Vpcs[*].{VpcId:VpcId,CIDR:CidrBlock}' \
       --output text 2>/dev/null)

   [ -n "$vpc" ] && echo "$region: $vpc" || echo "$region: No default VPC"
done

Konto deregistrieren und dann erneut registrieren

Wichtig: Führe die folgenden Schritte nur aus, wenn die Registrierung deines Mitgliedskontos fehlschlägt. Wenn Landing Zone-Fehler auftreten, überspringe diesen Abschnitt.

Um zu verhindern, dass AWS Control Tower Standard-VPCs entfernt, die wichtige Abhängigkeiten in deinem Mitgliedskonto haben, deregistriere das Konto von AWS Control Tower. Registriere das Konto dann manuell mit seinen Voraussetzungen.

Die OU erneut registrieren

Wichtig: Führe die folgenden Schritte nur aus, wenn die Registrierung deines Mitgliedskontos fehlschlägt. Wenn Landing Zone-Fehler auftreten, überspringe diesen Abschnitt.

Um zu verhindern, dass AWS Control Tower Standard-VPCs entfernt, die wichtige Abhängigkeiten in deinem Mitgliedskonto haben, registriere die OU erneut, in der sich das Konto befindet. Durch die erneute Registrierung der OU wird das VPC-Baselining übersprungen, die Konten werden registriert und die Standard-VPCs bleiben erhalten.

Standard-VPCs löschen

Wichtig: Bevor du eine VPC löschst, musst du alle mit der VPC verknüpften Ressourcen entfernen. Das Löschen von Standard-VPCs kann sich auf bestehende Ressourcen oder Anwendungen auswirken, die von ihnen abhängen. Es wird empfohlen, den Inhalt einer VPC zu überprüfen, bevor du sie löschst.

Du kannst die Amazon VPC-Konsole oder die AWS CLI verwenden, um Standard-VPCs in deinen AWS Control Tower-Regionen zu löschen.

Gehe wie folgt vor, um die Konsole zu verwenden:

1. Melde dich bei deinem Mitgliedskonto an und öffne die Amazon VPC-Konsole.
2. Wähle deine Standard-VPC aus.
3. Wähle Actions (Aktionen) und dann Delete VPC (VPC löschen) aus.
4. Aktiviere im Dialogfeld Delete VPC (VPC löschen) das Kontrollkästchen I acknowledge that I want to delete my Default VPC (Ich bestätige, dass ich meine Standard-VPC löschen möchte).
   Hinweis: Wenn du diese Option auswählst, löschst du alle mit deiner VPC verknüpften Elemente, einschließlich Subnetze und Sicherheitsgruppen.
5. Gib im Bestätigungsfeld delete default vpc ein und wähle dann Delete (Löschen) aus.

Um die AWS CLI zu verwenden, führe den folgenden Befehl delete-vpc aus:

aws ec2 delete-vpc --vpc-id YOUR_VPC_ID --region YOUR_REGION

Hinweis: Ersetze YOUR_VPC_ID durch deine VPC-ID und YOUR_REGION durch deine Region.

Führe abschließend den Vorgang zur Einrichtung der Landing Zone oder zur Kontoregistrierung in AWS Control Tower erneut aus.