为什么我无法访问我在 AWS Organizations 中的成员账户？

解决方法

要获得对组织成员账户的访问权限，请先尝试使用您为该账户创建的电子邮件地址和密码登录。

如果您无法使用初始密码登录，请完成以下步骤：

1. 打开 AWS 管理控制台。
   注意： 如果您已经登录 AWS，则必须注销才能看到 Sign in（登录）页面。
2. 选择 Root user（根用户）。
3. 输入与您的 AWS 账户关联的电子邮件地址，然后选择 Next（下一步）。
4. 选择 Forgot your password?（忘记密码？） 然后，输入重置密码所需的信息。确认与该账户关联的电子邮件地址处于可用状态，并且可以接收发来的电子邮件。

访问具有管理账户访问权限角色的成员账户

当您创建成员账户时，AWS Organizations 会自动在账户中创建一个名为 OrganizationAccountAccessRole 的 AWS Identity and Access Management (IAM) 角色。此角色在成员账户中拥有完全的管理权限。此角色的访问范围包括管理账户的所有主体。

要代入 OrganizationAccountAccessRole，请完成以下步骤：

1. 使用授予管理账户管理员权限的 IAM 用户凭证打开 AWS 管理控制台。
2. 向管理账户中的 IAM 组成员授予访问该角色的权限。
3. 切换到成员账户的角色。

使用 AWS CLI 以编程方式切换 IAM 角色

注意： 如果您在运行 AWS 命令行界面 (AWS CLI) 命令时收到错误，请参阅 Troubleshooting errors for the AWS CLI（AWS CLI 错误故障排除）。此外，请确认您使用的是最新版本的 AWS CLI。

当您以 AWS 账户根用户身份登录时，您无法切换角色。有关详细信息，请参阅 Granting a user permissions to switch roles（授予用户切换角色的权限）。

要以编程方式切换 IAM 角色，请运行以下 assume-role AWS CLI 命令：

aws sts assume-role \
  --role-arn arn:aws:iam::MEMBER-ACCOUNT-ID:role/OrganizationAccountAccessRole \
  --role-session-name my-session

注意： 将 MEMBER-ACCOUNT-ID 替换为您的会员账户 ID。

在受邀成员账户中创建 OrganizationAccountAccessRole

加入组织的受邀成员账户不会自动获得管理员角色。必须手动创建该角色。此操作会复制为已创建的账户自动设置的角色。最好为手动创建的角色使用相同的名称：OrganizationAccountAccessRole，以保持一致性和易用性。

关闭后

如果您的成员账户已关闭超过 90 天，则该账户已永久关闭，您无法再访问该账户。与该账户关联的所有内容和 AWS 服务都将删除。

相关信息

When should I use an external ID?（我什么时候应该使用外部 ID？）

AWS Multi-factor authentication in IAM（IAM 中的 AWS 多因素身份验证）

Close an AWS account（关闭 AWS 账户）