AWS Control Tower에서 ‘Not authorized to baseline the VPC in the enrolled account’ 오류를 어떻게 해결합니까?

간략한 설명

랜딩 존을 설정 또는 업데이트하려고 하면 다음 오류가 표시됩니다.

‘AWS Control Tower failed to set up your landing zone completely: AWS Control Tower is not authorized to baseline the VPC in the enrolled account.’

AWS Control Tower Account Factory를 사용해 AWS 계정을 만들거나 등록된 계정을 업데이트하려고 하면 다음 오류가 표시됩니다.

‘AWS Control Tower could not enroll your account for the following reason: AWS Control Tower is not authorized to baseline the VPC in the enrolled account.’

앞의 오류가 발생하는 이유는 다음과 같습니다.

• AWS Control Tower에 필수 Amazon Virtual Private Cloud(Amazon VPC) 작업을 수행할 충분한 권한이 없습니다. 예를 들어, AWS Identity and Access Management(IAM) 역할 AWSControlTowerExecution의 작업이 제한된 경우 이 오류가 발생합니다. 서비스 제어 정책(SCP) 또는 역할과 연결된 정책을 사용해 역할의 작업을 제한할 수 있습니다.
• 관리형 AWS 리전의 리소스 종속성 때문에 AWS Control Tower는 해당 리전의 기존 기본 VPC를 삭제할 수 없습니다.

참고: Account Factory를 사용해 계정을 만드는 경우, AWS Control Tower가 기본 Amazon VPC를 자동으로 삭제합니다. 또한 AWS Control Tower는 Account Factory Network 구성에 기반해 관리형 리전에서 새 Amazon VPC를 구성하기만 합니다. 기존 계정을 등록하는 경우, AWS Control Tower는 해당 계정의 기본 Amazon VPC를 제거하거나 새 Amazon VPC를 만들지 않습니다.

해결 방법

참고: AWS Command Line Interface(AWS CLI) 명령을 실행할 때 오류가 발생하면 AWS CLI 오류 문제 해결을 참조하십시오. 또한 최신 AWS CLI 버전을 사용하고 있는지 확인하십시오.

중요: 멤버 계정이 가리키는 계정은 실패 유형에 따라 다릅니다. 랜딩 존 실패인 경우, Log Archive(로그 아카이브) 및 Audit(감사) 계정의 단계를 완료하십시오. 이러한 계정을 공유 계정 또는 통합 계정이라고도 합니다. 계정 등록 실패인 경우, 등록하지 못한 멤버 계정의 단계를 완료하십시오.

멤버 계정의 CloudTrail 이벤트 검토

실패한 작업이 무엇인지 알아보려면 AWS Control Tower의 모든 리전에서 다음 단계를 완료하십시오.

1. 등록하지 못한 멤버 계정에서 AWS CloudTrail 콘솔을 열고 Event history(이벤트 기록)를 선택합니다.
2. Lookup attributes(속성 조회) 메뉴에서 Event source(이벤트 소스)를 선택합니다.
3. 검색 상자에 이벤트 소스로 ec2.amazonaws.com을 입력합니다.
4. Filter by date and time(날짜 및 시간별 필터링) 상자를 선택하고 Absolute range(절대 범위)를 선택합니다.
5. 작업 실패 기간의 시작 날짜, 종료 날짜 및 시간을 입력한 다음 Apply(적용)를 선택합니다.
6. 설정 아이콘을 선택하고 Error Code(오류 코드)를 활성화한 다음 Confirm(확인)을 선택합니다.
7. 실패한 이벤트가 무엇인지 알아보려면 Error code(오류 코드) 열에서 UnauthorizedOperation, AccessDenied, DependencyViolation 또는 CannotDelete 오류 코드를 찾습니다.
8. 이벤트를 선택하면 상세한 오류 메시지가 표시됩니다.
9. 실패한 CloudTrail 이벤트에서 발생한 오류 메시지를 검토하여 가능한 원인을 파악합니다. 오류 메시지에 권한 없음 또는 권한 부족 오류가 표시되는 경우, SCP 및 AWSControlTowerExecution 역할 권한 확인 섹션의 단계를 완료하십시오. 오류가 리소스 종속성과 관련된 경우, AWS Control Tower 리전의 기본 VPC 종속성 식별 및 해결 섹션의 단계를 완료하십시오.

SCP 및 AWSControlTowerExecution 역할 권한 확인

AWSControlTowerExecution IAM 역할에 AWS Organizations의 관리 계정과 신뢰 관계가 있는 AdministratorAccess 정책이 있어야 합니다. IAM 역할과 연결된 조직의 SCP 또는 정책이 해당 역할의 작업을 제한하지 않아야 합니다.

다음 단계를 완료하십시오.

1. AWS Control Tower 관리 계정에서 Organizations 콘솔을 엽니다.
2. 탐색 창에서 AWS accounts(AWS 계정)를 선택합니다.
3. 검색 상자에서 등록하지 못한 계정 ID를 검색한 다음 선택합니다.
4. Policies(정책) 탭을 선택하고, 조직의 모든 엔터티(루트, 조직 단위(OU) 및 계정)에 FullAWSAccess SCP가 연결되어 있는지 확인합니다.
5. 연결된 모든 SCP를 검토해 ec2 작업에 대한 제한이 있는지 알아봅니다.
6. 엔터티와 사용자 지정 SCP를 일시적으로 분리합니다. 또는 Condition(조건) 블록을 사용하여 AWSControlTowerExecution IAM 역할을 제외하도록 SCP를 수정합니다.

다음 SCP 예시는 AWSControlTowerExecution 역할이 수행할 때를 제외하고 모든 Amazon Elastic Compute Cloud(Amazon EC2) 작업을 거부합니다.

{
   "Version":"2012-10-17",
   "Statement": [
       {
           "Sid": "Statement1",
           "Effect": "Deny",
           "Action": "ec2:*",
           "Resource": "*",
           "Condition": {
               "ArnNotLike": {
                   "aws:PrincipalARN": [
                       "arn:aws:iam::*:role/AWSControlTowerExecution"
                   ]
               }
           }
       }
   ]
}

AWS Control Tower 리전의 기본 VPC 종속성 식별 및 해결

관리형 리전의 리소스 종속성 때문에 AWS Control Tower는 해당 리전의 기존 기본 VPC를 삭제할 수 없습니다. AWS Control Tower 리전에서 기본 VPC를 찾아 수동으로 삭제하려면 다음 작업을 수행하십시오.

기본 VPC 찾기

AWS Global View, Amazon VPC 콘솔 또는 AWS CLI를 사용해 멤버 계정의 AWS Control Tower 리전에서 기본 VPC를 찾을 수 있습니다.

AWS Global View

AWS Global View를 사용해 여러 리전의 모든 VPC 리소스를 한 개의 뷰에서 동시에 나열합니다. View resources across Regions using AWS Global View,(AWS Global View를 사용해 여러 리전에서 리소스 보기)에서 Required permissions(필요한 권한) 섹션을 검토하고 To use AWS Global View(AWS Global View를 사용하는 방법) 아래의 단계를 따르십시오.

관리형 리전의 VPC ID를 선택해 Default VPC(기본 VPC)가 YES로 설정되었는지 확인하십시오.

Amazon VPC 콘솔

각 AWS Control Tower 리전에서 다음 단계를 완료하십시오.

1. 멤버 계정으로 로그인하고 Amazon VPC 콘솔을 엽니다.
2. 탐색 창에서 VPC를 선택합니다.
3. Default VPC(기본 VPC)가 Yes로 설정된 VPC가 무엇인지 확인합니다.

AWS CLI

AWS CLI를 사용하려면 멤버 계정에서 다음 bash 스크립트를 실행합니다.

for region in $(aws ec2 describe-regions \
   --all-regions \
   --query 'Regions[?OptInStatus!=`not-opted-in`].RegionName' \
   --output text); do

   vpc=$(aws ec2 describe-vpcs \
       --filters Name=isDefault,Values=true \
       --region "$region" \
       --query 'Vpcs[*].{VpcId:VpcId,CIDR:CidrBlock}' \
       --output text 2>/dev/null)

   [ -n "$vpc" ] && echo "$region: $vpc" || echo "$region: No default VPC"
done

계정을 등록 취소하고 다시 등록

중요: 멤버 계정의 등록이 실패하는 경우에만 다음 단계를 완료하십시오. 랜딩 존 실패가 발생하는 경우, 이 섹션은 건너뛰십시오.

AWS Control Tower가 멤버 계정에서 중요한 종속성이 있는 기본 VPC를 제거하지 못하도록 하려면 AWS Control Tower에서 계정을 등록 취소합니다. 그런 다음 계정의 전제 조건에 따라 수동으로 등록하십시오.

OU 다시 등록

중요: 멤버 계정의 등록이 실패하는 경우에만 다음 단계를 완료하십시오. 랜딩 존 실패가 발생하는 경우, 이 섹션은 건너뛰십시오.

AWS Control Tower가 멤버 계정에서 중요한 종속성이 있는 기본 VPC를 제거하지 못하도록 하려면 계정이 있는 위치에서 OU를 다시 등록합니다. OU를 다시 등록하면 VPC 기준 설정을 건너뛰고, 계정을 등록하고 기본 VPC를 보존합니다.

기본 VPC 삭제

중요: VPC를 삭제하기 전에 VPC와 연결된 모든 리소스를 제거해야 합니다. 기본 VPC를 삭제하면 해당 VPC에 종속되는 기존 리소스 또는 애플리케이션에 영향이 발생할 수 있습니다. VPC를 삭제하기 전에 그 내용을 검토하는 것이 좋습니다.

AWS Control Tower 리전에서 기본 VPC를 삭제하려면 Amazon VPC 콘솔 또는 AWS CLI를 사용할 수 있습니다.

콘솔을 사용하려면 다음 단계를 완료합니다.

1. 멤버 계정에 로그인하고 Amazon VPC 콘솔을 엽니다.
2. 기본 VPC를 선택합니다.
3. Actions(작업)를 선택하고 Delete VPC(VPC 삭제)를 선택합니다.
4. Delete VPC(기본 VPC) 대화 상자에서 I acknowledge that I want to delete my Default VPC(기본 VPC 삭제를 확인합니다) 확인란을 선택합니다.
   참고: 이 옵션을 선택하면 서브넷 및 보안 그룹을 포함해 VPC와 연결된 모든 요소를 삭제하게 됩니다.
5. 확인 상자에서 delete default vpc(기본 VPC 삭제)를 입력하고 Delete(삭제)를 선택합니다.

AWS CLI를 사용하려면 다음 delete-vpc 명령을 실행합니다.

aws ec2 delete-vpc --vpc-id YOUR_VPC_ID --region YOUR_REGION

참고: YOUR_VPC_ID를 VPC ID로, YOUR_REGION을 해당하는 리전으로 바꾸십시오.

마지막으로, AWS Control Tower에서 랜딩 존 설정 또는 계정 등록 작업을 다시 시도합니다.