View a markdown version of this page

AWS Control Tower 中的限制和配额 - AWS Control Tower
AWS Control Tower 中的已知限制

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS Control Tower 中的限制和配额

本章介绍在使用 AWS 控制塔时应记住的 AWS 服务限制和配额。如果您因服务配额问题无法设置登录区，请联系 AWS 支持。

有关特定于控件的限制的更多信息，请参阅 控件限制。

控件参考指南

有关 AWS Control Tower 控件的详细信息已移至 AWS Control Tower 控件参考指南。

AWS Control Tower 中的已知限制

本部分介绍 AWS Control Tower 中的已知限制和不受支持的使用案例。

  • AWS Control Tower 具有总体并发限制。通常，一次只允许执行一项操作。这一限制允许有两种例外情况：

    • 可选控件可通过异步流程同时进行激活和停用。一次最多可执行一百（100）项与控件相关的操作，无论这些操作是从控制台调用还是从 API 调用。

    • 可通过异步流程在 Account Factory 中同时预置、更新和注册账户，最多可以同时执行五（5）项与账户相关的操作。一次只能对一个账户进行取消管理操作。

      • 启用自动注册后，只能在目标 OU 上执行单个转移账户操作，并且在转移账户操作完成之前，在同一 OU 上执行任何其他与账户相关的操作都将被视为冲突。

    • Terraform 账户工厂 (AFT) 在部署期间配置了额外的并发参数。AWS 已经使用以下默认值测试了 AFT：

      • concurrent_account_factory_actions: 5（账户配置）

      • maximum_concurrent_customizations: 5（自定义管道）

      将这些限制提高到测试默认值之外可能会降低稳定性。

  • 可以更改安全 OU 中共享账户的电子邮件地址，但您必须更新登录区才能在 AWS Control Tower 控制台中查看这些更改。

  • 每个 OU 有十 (10) 个 SCP 的上限适用于您的 AWS 控制塔着陆区的 OU。

  • AWS Control Tower 在您的登录区组织中最多支持 10,000 个账户，分散在您所有的 OU 中。

  • 拥有超过 1000 个直接嵌套账户的现有 OU 无法在 AWS Control Tower 中进行注册或重新注册。有关注册 OU 的限制的更多信息，请参阅 基于底层资产的限制 AWS 务。

  • 这些中不可用 AWS 控制塔 (CfCt) 的自定义 AWS 区域，因为某些依赖项不可用：

    • 欧洲（苏黎世）- eu-central-2

    • 欧洲（西班牙）- eu-south-2

    • 加拿大西部（卡尔加里），ca-west-1

    • 亚太地区（墨尔本）区域（ap-southeast-4）

    • 亚太地区（马来西亚），ap-southeast-5

    • 亚太地区（泰国），ap-southeast-7

    • 墨西哥（中部），mx-central-1

    • 亚太地区（新西兰），ap-southeast-6

    • 亚太地区（台北），ap-east-2

    • AWS 欧洲主权云（德国），eusc-de-east-1

    如果您将 CfCT 部署到 AWS Control Tower 主区域，则可以使用 CfCT 在这些区域中部署和管理资源，但不能在这些区域中构建 CfCT。

  • Terraform 的 AWS 控制塔账户工厂 (AFT) 在以下版本中不可用 AWS 区域，因为某些依赖项不可用：

    • 欧洲（苏黎世）- eu-central-2

    • 欧洲（西班牙）- eu-south-2

    • 加拿大西部（卡尔加里），ca-west-1

    • 亚太地区（墨尔本）区域（ap-southeast-4）

    • 亚太地区（马来西亚），ap-southeast-5

    • 亚太地区（泰国），ap-southeast-7

    • 墨西哥（中部），mx-central-1

    • 亚太地区（新西兰），ap-southeast-6

    • 亚太地区（台北），ap-east-2

    • AWS 欧洲主权云（德国），eusc-de-east-1

  • 由于无法连接到第三方版本控制系统 (VCS)，新的 AFT 客户无法在以下区域部署适用于 Terraform AWS CodeConnections 的 AWS 控制塔账户工厂 (AFT)：

    • 亚太地区（香港）、非洲（开普敦）、中东（巴林）、欧洲（苏黎世）、亚太地区（雅加达）、亚太地区（海得拉巴）、亚太地区（大阪）、亚太地区（墨尔本）、以色列（特拉维夫）、欧洲（西班牙）、中东（阿联酋）、亚太地区（泰国）、墨西哥（中部）

  • 以下区域不支持 AWS Service Catalog。

    • 加拿大西部（卡尔加里），ca-west-1

    • 亚太地区（马来西亚），ap-southeast-5

    • 亚太地区（泰国），ap-southeast-7

    • 墨西哥（中部），mx-central-1

    • 亚太地区（新西兰），ap-southeast-6

    • 亚太地区（台北），ap-east-2

    • AWS 欧洲主权云（德国），eusc-de-east-1

    注意

    不支持 Service Catalog 的区域不支持 Account Factory Customizations for AWS Control Tower（AFC）。

    有关不支持 AWS 控制塔功能的更多信息 AWS Service Catalog，请参阅AWS 控制塔可用于 AWS 加拿大西部（卡尔加里）。

  • 调用控件 API 激活或停用控件时，AWS Control Tower 中 EnableControl 和 DisableControl 更新的限制为一百（100）项并发操作。十（10）项操作可以同时进行，其余操作则排队等候。您可能需要调整代码以等待完成。

  • 当您使用基于 Terraform 的蓝图通过 Account Factory Customizations（AFC）预置账户时，只能将这些蓝图部署到一个 AWS 区域。默认情况下，AWS Control Tower 会部署到主区域。