Como resolvo os erros "Not authorized to baseline the VPC in the enrolled account" no AWS Control Tower?

Breve descrição

Você recebe a mensagem de erro a seguir ao tentar configurar ou atualizar uma zona de pouso:

"AWS Control Tower failed to set up your landing zone completely: AWS Control Tower is not authorized to baseline the VPC in the enrolled account."

Você recebe a seguinte mensagem de erro ao usar o Account Factory do AWS Control Tower para criar uma conta da AWS ou atualizar uma conta cadastrada:

"AWS Control Tower could not enroll your account for the following reason: AWS Control Tower is not authorized to baseline the VPC in the enrolled account."

É possível receber as mensagens de erro anteriores pelos seguintes motivos:

• O AWS Control Tower não tem permissões suficientes para realizar as ações necessárias da Amazon Virtual Private Cloud (Amazon VPC). Por exemplo, isso acontece quando o perfil AWSControlTowerExecution do AWS Identity and Access Management (AWS IAM) tem suas ações restritas. Você pode usar políticas de controle de serviços (SCPs) ou políticas associadas ao perfil para restringir as ações do perfil.
• O AWS Control Tower não consegue excluir a VPC padrão existente em suas regiões da AWS controladas devido às suas dependências de recursos.

Observação: Se você usar o Account Factory para criar uma conta, o AWS Control Tower excluirá automaticamente a Amazon VPC padrão. Além disso, o AWS Control Tower configura uma nova Amazon VPC nas suas Regiões gerenciadas apenas com base na configuração de rede do Account Factory. Se você cadastrar uma conta existente, o AWS Control Tower não remove a Amazon VPC padrão nem cria uma nova Amazon VPC para essa conta.

Resolução

Observação: se você receber mensagens de erro ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

Importante: Uma conta de membro se refere a contas diferentes com base no seu tipo de falha. Para falhas na zona de pouso, conclua as etapas nas contas Arquivamento de logs e Auditoria. Essas contas também são conhecidas como contas compartilhadas ou de integração. Em caso de falhas no cadastro da conta, conclua as etapas na conta de membro que falhou no cadastro.

Analise os eventos do CloudTrail na conta de membro

Para identificar a ação com falha, conclua as seguintes etapas em todas as regiões do AWS Control Tower:

1. Abra o console do AWS CloudTrail na conta de membro que falhou ao se cadastrar e, em seguida, clique em Histórico de eventos.
2. No menu Atributos de pesquisa, selecione Origem do evento.
3. Na caixa de pesquisa, insira ec2.amazonaws.com como a origem do evento.
4. Selecione a caixa Filtrar por data e hora e clique em Intervalo absoluto.
5. Insira a data de início, a data de término e a hora do período de falha na operação e selecione Aplicar.
6. Clique no ícone de configurações, ative o Código de erro e selecione Confirmar.
7. Para identificar eventos com falha, procure os códigos de erro UnauthorizedOperation, AccessDenied, DependencyViolation ou CannotDelete na coluna Código de erro.
8. Selecione o evento para ver uma mensagem de erro detalhada.
9. Analise a mensagem de erro do evento falhado do CloudTrail para identificar a causa provável. Se a mensagem de erro mostrar um erro de permissão não autorizada ou insuficiente, conclua as etapas na seção Verifique as permissões de SCPs e do perfil AWSControlTowerExecution. Se o erro estiver relacionado a uma dependência de recursos, conclua as etapas na seção Identificar e resolver a dependência de VPCs padrão nas regiões do AWS Control Tower.

Verifique as permissões da função SCPs e do AWSControlTowerExecution

O perfil AWSControlTowerExecution do IAM deve ter a politica AdministratorAccess com uma relação de confiança com a conta gerencial do AWS Organizations. Certifique-se de que as SCPs das organizações ou políticas associadas ao perfil do IAM não restrinjam as ações do perfil.

Conclua as etapas a seguir:

1. Abra o console do Organizations em sua conta gerencial do AWS Control Tower.
2. No painel de navegação, clique em Contas da AWS.
3. Na caixa de pesquisa, pesquise e selecione o ID da conta que falhou no cadastro.
4. Clique na guia Políticas e certifique-se de que a SCP FullAWSAccess esteja anexada a todas as entidades das organizações, incluindo a raiz, a unidade organizacional (UO) e a conta.
5. Analise todas as SCPs anexadas para identificar qualquer restrição para ações do ec2.
6. Separe temporariamente as SCPs personalizadas da entidade. Ou modifique as SCPs para usar um bloco de Condição para isentar o perfil AWSControlTowerExecution do IAM.

O exemplo de SCP a seguir nega todas as ações do Amazon Elastic Compute Cloud (Amazon EC2), exceto quando executadas pela perfil AWSControlTowerExecution:

{
   "Version":"2012-10-17",
   "Statement": [
       {
           "Sid": "Statement1",
           "Effect": "Deny",
           "Action": "ec2:*",
           "Resource": "*",
           "Condition": {
               "ArnNotLike": {
                   "aws:PrincipalARN": [
                       "arn:aws:iam::*:role/AWSControlTowerExecution"
                   ]
               }
           }
       }
   ]
}

Identifique e resolva a dependência padrão de VPC nas regiões do AWS Control Tower

O AWS Control Tower não pode excluir a VPC padrão existente em suas regiões governadas por causa de suas dependências de recursos. Para encontrar e excluir manualmente as VPCs padrão em suas regiões do AWS Control Tower, realize as seguintes ações.

Encontre VPCs padrão

Você pode usar o AWS Global View, o console da Amazon VPC ou a AWS CLI para localizar VPCs padrão nas regiões do AWS Control Tower de contas de membros.

AWS Global View

Use o AWS Global View para listar todos os seus recursos de VPC em várias regiões simultaneamente em uma única visualização. Em Exibir recursos em todas as regiões usando o AWS Global View, consulte a seção Permissões necessárias e siga as etapas em Para usar o AWS Global View.

Selecione os IDs de VPC para suas regiões controladas para verificar se a VPC padrão está definida como SIM.

Console da Amazon VPC

Conclua as seguintes etapas em cada região do AWS Control Tower:

1. Faça login na sua conta de membro e abra o console da Amazon VPC.
2. No painel de navegação, escolha Suas VPCs.
3. Identifique as VPCs em que VPC padrão está definida como Sim.

AWS CLI

Para usar a AWS CLI, execute o seguinte script bash em sua conta de membro:

for region in $(aws ec2 describe-regions \
   --all-regions \
   --query 'Regions[?OptInStatus!=`not-opted-in`].RegionName' \
   --output text); do

   vpc=$(aws ec2 describe-vpcs \
       --filters Name=isDefault,Values=true \
       --region "$region" \
       --query 'Vpcs[*].{VpcId:VpcId,CIDR:CidrBlock}' \
       --output text 2>/dev/null)

   [ -n "$vpc" ] && echo "$region: $vpc" || echo "$region: No default VPC"
done

Cancele o cadastro e, em seguida, faça o cadastro da conta novamente

Importante: conclua as etapas a seguir somente se o cadastro da sua conta de membro falhar. Se você tiver falhas na zona de pouso, pule esta seção.

Para evitar que o AWS Control Tower remova VPCs padrão que têm dependências importantes em sua conta de membro, cancele o cadastro da conta a partir do AWS Control Tower. Em seguida, cadastre a conta manualmente com seus pré-requisitos.

Registre novamente a OU

Importante: conclua as etapas a seguir somente se o cadastro da sua conta de membro falhar. Se você tiver falhas na zona de pouso, pule esta seção.

Para evitar que a AWS Control Tower remova VPCs padrão que têm dependências importantes em sua conta de membro, registre novamente a OU onde a conta está localizada. O novo registro da OU ignorará a linha de base da VPC, inscreverá as contas e preservará as VPCs padrão.

Exclua VPCs padrão

Importante: antes de excluir uma VPC, você deve remover todos os recursos associados à VPC. A exclusão de VPCs padrão pode afetar recursos ou aplicações existentes que dependem delas. É uma prática recomendada revisar o conteúdo de uma VPC antes de excluí-la.

É possível usar o console do Amazon VPC ou a AWS CLI para excluir VPCs padrão em suas regiões do AWS Control Tower.

Para usar o console, conclua as seguintes etapas:

1. Faça login na sua conta de membro e abra o console da Amazon VPC.
2. Selecione sua VPC padrão.
3. Clique em Ações e, em seguida, em Excluir VPC.
4. Na caixa de diálogo Excluir VPC, marque a caixa de seleção Eu reconheço que quero excluir minha VPC padrão.
   Observação: ao selecionar essa opção, você exclui todos os elementos associados à sua VPC, incluindo sub-redes e grupos de segurança.
5. Na caixa de confirmação, digite delete default vpc e clique em Excluir.

Para usar a AWS CLI, execute o seguinte comando delete-vpc:

aws ec2 delete-vpc --vpc-id YOUR_VPC_ID --region YOUR_REGION

Observação: Substitua YOUR_VPC_ID pelo ID da sua VPC e YOUR_REGION pela sua região.

Por fim, tente novamente a configuração da zona de pouso ou a operação de cadastro da conta no AWS Control Tower.