本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 如需在 AWS Control Tower 之外管理资源
<a name="external-resources"></a>

AWS Control Tower 可以代表您设置账户、组织单元和其他资源，但您是这些资源的所有者。您可以在 AWS Control Tower 内部或外部更改这些资源。在 AWS Control Tower 外部更改资源的最常见位置是 AWS Organizations 控制台。本主题介绍如何在 AWS Control Tower 外部进行更改时协调对 AWS Control Tower 资源的更改。

在 AWS Control Tower 控制台外部重命名、删除和移动资源可能会导致控制台不再同步。许多更改可以自动协调。有些更改则需要重置登录区，以更新 AWS Control Tower 控制台中显示的信息。

通常，在 AWS Control Tower 控制台外部对 AWS Control Tower 资源进行的更改会在您的登录区中产生*可解决的偏移*状态。有关这些更改的更多信息，请参阅 [对资源的可修复更改](drift.md#repairable-changes-to-resources)。

****需要重置登录区的任务****
+ 删除安全 OU*（特殊情况，需谨慎处理。）*
+ 从安全 OU 中移除共享账户*（不推荐。）*
+ 更新、附加或分离与安全 OU 关联的 SCP。

****AWS Control Tower 自动更新的更改****
+ 更改已注册账户的电子邮件地址
+ 重命名已注册的账户
+ 创建新的顶级组织单元（OU）
+ 重命名已注册的 OU
+ 删除已注册的 OU*（安全 OU 除外，它需要更新。）*
+ 删除已注册的账户*（安全 OU 中的共享账户除外。）*

**注意**  
AWS Service Catalog 处理变更的方式与 AWS Control Tower 不同。 AWS Service Catalog 当它协调您的更改时，可能会导致治理态势发生变化。有关更新预配置产品的更多信息，请参阅文档中的[更新预配置产品](https://docs.aws.amazon.com//servicecatalog/latest/userguide/enduser-update.html)。 AWS Service Catalog 

## 引用 AWS Control Tower 之外的资源
<a name="ungoverned-resources"></a>

当您在 AWS Control Tower 之外创建新账户 OUs 和账户时，它们不受 AWS Control Tower 的管辖，即使它们可能会显示出来。

**创建 OU**

在 AWS Control Tower 之外创建的组织单位 (OUs) 被称为*未注册*。它们显示在**组织**页面中，但不受 AWS Control Tower 控件的约束。

**创建账户**

在 AWS Control Tower 之外创建的账户称为*未注册*账户。属于已注册到 AWS Control Tower 的 OU 的已注册账户和未注册账户都会显示在**组织**页面中。可以使用 AWS Organizations 控制台邀请不属于已注册 OU 的账户。此加入邀请不会在 AWS Control Tower 中注册账户，也不会将 AWS Control Tower 监管扩展到账户。要通过注册账户扩展监管，请转到 AWS Control Tower 中的**组织**页面或**账户详细信息**页面，然后选择**注册账户**。

## 在外部更改 AWS Control Tower 资源名称
<a name="changing-names"></a>

您可以在 AWS Control Tower 控制台之外更改组织单位 (OUs) 和账户的名称，控制台会自动更新以反映这些更改。

**重命名 OU**

在中 AWS Organizations，您可以使用 AWS Organizations API 或控制台更改 OU 的名称。当您在 AWS Control Tower 之外更改 OU 名称时，AWS Control Tower 控制台会自动反映名称的更改。但是，如果您使用 AWS Service Catalog来预置账户，那么还必须重置登录区，以确保 AWS Control Tower 与 AWS Organizations保持一致。重**置**工作流程可确保基础服务和其他 OUs服务之间的一致性。您可以从**登录区设置**页面解决此类偏移。请参阅 [在 AWS Control Tower 中检测并解决偏移问题](drift.md) 中的“Resolving Drift”部分。

AWS Control Tower OUs 在 AWS Control Tower 控制面板的**组织**页面上显示的名称。您可以查看登录区重置操作成功完成的时间。

**重命名已注册的账户**

每个 AWS 账户都有一个显示名称，该账户的 root 用户可以在 AWS 账单与成本管理 控制台中更改该名称。当您重命名已在 AWS Control Tower 中注册的账户时，名称更改会自动体现在 AWS Control Tower 中。有关更改账户名称的更多信息，请参阅《*AWS 账单用户指南*》中的[管理 AWS 账户](https://docs.aws.amazon.com//awsaccountbilling/latest/aboutv2/manage-account-payment.html#manage-account-payment-edit-user-name)。

## 删除安全 OU
<a name="delete-security-ou"></a>

此类偏移是一种特殊情况。如果删除**安全** OU，系统将显示错误消息页面，提示您重置登录区。您必须先重置登录区，然后才能在 AWS Control Tower 中执行任何其他操作。
+ 在重置完成 AWS Service Catalog 之前，您将无法在 AWS Control Tower 控制台中执行任何操作，也无法在中创建任何新账户。
+ 您将无法查看**登录区设置**页面以查看**重置**按钮。

在此情况下，登录区重置过程会创建一个新的安全 OU，并将两个共享账户移至这个新的安全 OU 中。AWS Control Tower 将日志存档和审计账户标记为已偏移。同样的过程可以解决这些账户中的偏移。

**如果您确定必须删除**安全** OU，则需要了解以下内容：**

在删除**安全** OU 之前，必须先确保其中不包含任何账户。具体而言，您必须从 OU 中删除日志存档和审计账户。建议您将这些账户移至另一个 OU。

**注意**  
未经适当考虑，不得执行删除安全 OU 的操作。如果临时暂停日志记录，并且可能未强制执行某些控制机制，则此操作可能会产生合规性问题。

 有关偏移的一般信息，请参阅 [在 AWS Control Tower 中检测并解决偏移问题](drift.md) 中的“消除偏移”。

## 从安全 OU 中移除账户
<a name="removed-shared-account"></a>

建议您不要从组织中移除任何共享账户或将其移出**安全** OU。如果您意外删除了共享账户，可以按照本部分中的修复步骤恢复账户。
+ **在 AWS Control Tower 控制台中：**要开始修复过程，请按照半手动修复步骤进行操作。确保您用于访问 AWS Control Tower 控制台的用户或角色拥有运行 `organizations:InviteAccountToOrganization` 的权限。如果您没有此类权限，请按照手动修复步骤进行操作，这些步骤同时使用 AWS Control Tower 控制台和 AWS Organizations 控制台。
+ **从 AWS Organizations 控制台开始：**此修复过程稍长一些，完全手动完成。按照手动修复步骤进行操作时，您将在 AWS Organizations 控制台和 AWS Control Tower 控制台之间切换。在中工作时 AWS Organizations，您需要具有`AWSOrganizationsFullAccess`托管策略或等效策略的用户或角色。在使用 AWS Control Tower 控制台时，您需要一个具有 `AWSControlTowerServiceRolePolicy` 托管策略或等效策略的用户或角色，以及运行所有 AWS Control Tower 操作（controltower:\*）的权限。
+ 如果修复步骤未能恢复账户，请联系 AWS 支持。

**通过 AWS Organizations以下方式删除共享账号的结果：**
+ 该账户不再受服务控制策略 (SCPs) 的 AWS Control Tower 强制控制措施的保护。**结果：***AWS Control Tower 在账户中创建的资源可能会被修改或删除。*
+ 该账户已不在 AWS Organizations 管理账户下。**结果： AWS Organizations ***管理账户的管理员无法再查看账户的支出。*
+ 不再保证该账户会受到监控 AWS Config。**结果： AWS Organizations ***管理账户的管理员可能无法检测到资源变化。*
+ 该账户不再属于组织。**结果：***AWS Control Tower 更新和重置操作将会失败。*

**使用 AWS Control Tower 控制台恢复共享账户（半手动程序）**

1. 登录 [https://console.aws.amazon.com/controltower 上的 AWS Control Tower 控制](https://console.aws.amazon.com/controltower)台。您必须以 IAM 用户、IAM Identity Center 用户，或者具有运行 `organizations:InviteAccountToOrganization` 的权限的角色的身份登录。如果您没有此类权限，请遵循本主题后面介绍的手动修复程序。

1. 在**检测到登录区偏移**页面上，选择**重新邀请**以通过重新邀请共享账户加入组织来修复已删除的共享账户。系统将向该账户的电子邮件地址发送一封自动生成的电子邮件。

1. 接受邀请，将共享账户重新纳入组织。请执行以下操作之一：
   + 登录已移除的共享账号，然后前往 [https://console.aws.amazon.com/organizations/home](https://console.aws.amazon.com/organizations/home#/invites) \#/invites
   + 如果您有权访问再次邀请账户时发送的电子邮件，请登录已删除的账户，然后点击邮件中的链接，直接跳转到账户邀请页面。
   + 如果被删除的共享账户不在其他组织中，请登录该账户，打开 AWS Organizations 控制台并导航到**邀请**。

1. 再次登录管理账户，或者重新加载 AWS Control Tower 控制台（如果该控制台已打开）。您会看到**登录区偏移**页面。选择**重置**以修复登录区。

1. 等待重置进程完成。

如果修复成功，共享账户将显示为正常状态且符合要求。

如果修复步骤未能恢复账户，请联系 AWS 支持。

**使用 AWS Control Tower 和控制 AWS Organizations 台恢复共享账户（手动修复）**

1. 登录 AWS Organizations 控制台，网址为[https://console.aws.amazon.com/organizations/](https://console.aws.amazon.com/organizations/)。您必须以 IAM 用户、IAM Identity Center 用户或具有 `AWSOrganizationsFullAccess` 托管策略或等效策略的角色的身份登录。

1. 邀请共享账户重新加入组织。有关邀请账户加入的要求、先决条件和程序的信息 AWS Organizations，请参阅*AWS Organizations 用户指南*中的[邀请 AWS 账户加入您的组织](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_accounts_invites.html)。

1. 登录已删除的共享账户，然后前往 [https://console.aws.amazon.com/organizations/home\#/invites接受邀请](https://console.aws.amazon.com/organizations/home#/invites)。

1. 再次登录管理账户。

1. 以具备 `AWSControlTowerServiceRolePolicy` 托管策略或等效策略且拥有运行所有 AWS Control Tower 操作（controltower:\*）权限的用户或角色身份登录到 AWS Control Tower 控制台。

1. 您将看到**登录区偏移**页面，其中包含重置登录区的选项。选择**重置**以修复登录区。

1. 等待重置进程完成。

如果修复成功，共享账户将显示为正常状态且符合要求。

如果修复步骤未能恢复账户，请联系 AWS 支持。

## 自动更新的外部更改
<a name="updated-automatically"></a>

您对账户电子邮件地址所做的更改会由 AWS Control Tower 自动更新，但 Account Factory 不会自动更新这些更改。

**更改受监管账户的电子邮件地址**

AWS Control Tower 会根据控制台体验的要求检索并显示电子邮件地址。因此，共享账户和其他账户电子邮件地址会在您更改它们后一致地更新并显示在 AWS Control Tower 中。

**注意**  
在中 AWS Service Catalog，Account Factory 显示了您在创建预配置产品时在控制台中指定的参数。但是，当账户电子邮件地址更改时，原始账户电子邮件地址不会自动更新。这是因为该账户在概念上包含在预置产品中；它与预置产品不同。要更新此值，您必须更新预置的产品，这可能会导致监管状态发生变化。

**应用外部 AWS Config 规则**

AWS Control Tower 显示部署到在 AWS Control Tower 注册的组织单位中的所有 AWS Config 规则的合规状态，包括在 AWS Control Tower 控制台之外激活的规则。

### 删除 AWS Control Tower 之外的 AWS Control Tower 资源
<a name="deleting-resources"></a>

您可以删除 OUs AWS Control Tower 中的账户，并且无需采取任何进一步的操作即可查看更新。当您删除 OU 时，Account Factory 会自动更新，但在您删除账户时不会自动更新。

**删除已注册的 OU（安全 OU 除外）**

在内部 AWS Organizations，您可以使用 API 或控制台移除空的组织单位 (OUs)。 OUs 包含帐户的内容无法删除。

当组织单位被删除 AWS Organizations 时，AWS Control Tower 会收到通知。它会更新 Account Factory 中的 OU 列表，使注册的列表 OUs 保持一致。

**注意**  
在中 AWS Service Catalog，Account Factory 已更新， OUs 将已删除的 OU 从可供配置账户的可用列表中移除。

**从 OU 中删除已注册的账户**

当您删除已注册的账户时，AWS Control Tower 会收到通知并进行更新，以便信息保持一致。

**注意**  
在中 AWS Service Catalog，代表受监管账户的 Account Factory 预配置产品未更新为删除该账户。相反，预置产品显示为 `TAINTED` 且处于错误状态。要进行清理，请转到 AWS Service Catalog，选择预置产品，然后选择**终止**。