如何对 AWS Control Tower 账户注册过程中发生的 AWSControlTowerExecution 角色错误进行故障排除？

解决方案

**注意：**如果您在运行 AWS 命令行界面 (AWS CLI) 命令时收到错误，请参阅 AWS CLI 错误故障排除。此外，请确保您使用的是最新版本的 AWS CLI。

当您在 AWS Control Tower 中注册账户时，该账户必须存在 AWSControlTowerExecution 角色，且该角色必须正确配置。如果没有这样做，您可能会收到以下错误消息：

“AWS Control Tower is unable to assume the AWSControlTowerExecution role in the account.Add the role to your account if it's not present, and try again”

登录您想要在 AWS Control Tower 中注册的账户。然后，检查 AWS Identity and Access Management (IAM) 控制台中是否存在 AWSControlTowerExecution 角色。如果存在，请检查该角色与 AWS Organizations 管理账户是否存在信任关系。此外，请检查该角色是否附加了管理访问策略。

如果账户中不存在该角色，且该账户属于某个已注册的组织单元 (OU)，请执行以下操作：

• 在 AWS Organizations 控制台中将账户移至您组织的根级别下。如果该账户位于已注册的 OU 下，请终止已预置的产品。然后，您可以创建 AWSControlTowerExecution 角色，而不会受到服务控制策略的阻止。
• 创建 IAM 角色。

要创建 IAM 角色，请完成以下步骤：

1. 在 AWS 管理控制台中导航到 IAM 服务。
2. 选择 Roles（角色）。
3. 选择 Create role（创建角色），然后选择 Custom trust policy（自定义信任策略）。
4. 插入以下信任策略。

   {
   "Version": "2012-10-17",
   "Statement": [
   {
   "Effect": "Allow",
   "Principal": {
   "AWS": "arn:aws:iam::Management Account ID:root"
   },
   "Action": "sts:AssumeRole",
   "Condition": {}
   }
   ]
   }

   **注意：**请将 Management Account ID 替换为您的 AWS 管理账户 ID。
5. 附加 AdministratorAccess 策略。
6. 跳过 Tags（标签）部分（可选）。
7. 在 Review（审查）部分中，添加以下详细信息：
   **角色名称：**AWSControlTowerExecution
   描述：“允许在注册过程中获得完整账户访问权限”
8. 选择 Create role（创建角色）。

如果成员账户拥有 AWSControlTowerExecution 角色，但信任关系不正确且产品处于故障状态，请执行以下操作：

• 在 AWS Organizations 控制台中将账户移至您组织的根级别下，或删除预配置产品。
• 编辑 AWSControlTowerExecution 角色的信任关系。为此，请代入 AWS 管理账户 ID。

**注意：**如果您需要为多个账户创建角色，请重新注册 OU。此操作会自动在该 OU 内的所有账户中创建 AWSControlTowerExecution 角色。

相关信息

手动将所需的 IAM 角色添加到现有 AWS 账户并进行注册