AWS Control Tower の "A managed SCP was attached, deleted, detached, or modified" というエラーを解決する方法を教えてください。

簡単な説明

AWS Control Tower コンソールに次のエラーメッセージが表示されます。

"A managed SCP was attached, deleted, detached, or modified on the OU Security (ou-xyzzxy).This action has compromised the shared accounts and their functionality.For example, the log archive and audit accounts may no longer be working because their permissions have changed.

Until you fix this problem, you cannot view or manage your AWS Control Tower landing zone.Provisioning new accounts is not recommended, because logging and auditing may not be functioning."

前述のエラーメッセージは、AWS Control Tower のマルチアカウント環境で SCP を変更したときに表示されます。組織の要件に合わせて SCP をカスタマイズできますが、AWS Control Tower が管理する SCP を変更すると、ガバナンスドリフトが発生します。セキュリティ OU にアタッチした SCP がドリフトを開始する可能性があります。管理対象 SCP には、aws-guardrails で始まる識別子があります。

注: セキュリティ OU は、以前はコア OU と呼ばれていました。

解決策

ランディングゾーンをリセットまたは更新する

この問題を解決するには、ランディングゾーンをリセットまたは更新して、ドリフトしたリソースを保存した AWS Control Tower 設定に復元します。リセット操作によって、マニフェストファイルで定義されている最新の既知の設定にランディングゾーンが復元され、アクティブ化されたコントロールに基づいて正しい SCP が再デプロイされます。詳細については、「AWS Control Tower でドリフトを検出および解決する」を参照してください。

(オプション) ドリフトの原因を特定する

SCP の変更を開始したアクションまたはユーザーを特定するには、AWS CloudTrail のイベント履歴を確認してください。

次の API イベントを検索します。

• DeletePolicy
• AttachPolicy
• UpdatePolicy
• DetachPolicy
• DisablePolicyType

注: 90 日を超える API イベントを確認するには、AWS Organizations で管理アカウントの米国東部 (バージニア北部) AWS リージョンのイベントをキャプチャする CloudTrail 証跡ログをクエリします。詳細については、「for を使用した API コール AWS CloudTrail のログ記録 AWS Organizations」を参照してください。