啟用 AWS 選擇加入區域的考量事項 - AWS Control Tower

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

啟用 AWS 選擇加入區域的考量事項

雖然大多數 預設為 AWS 區域 作用中 AWS 帳戶，但只有在您手動選取時，才會啟用特定區域。本文件將這些區域稱為選擇加入區域。相反地，當您 AWS 帳戶 建立 時，預設為作用中的區域即稱為商業區域，或簡稱為區域。

選擇加入一詞有歷史依據。2019 年 3 月 20 日之後 AWS 區域 推出的任何 都會部署為選擇加入區域。在選擇加入的區域中，除非您選擇使用該區域，否則您的帳戶不會在該區域內啟用，而且您的身分也不會複寫到該區域。透過 IAM 服務管理的所有資料都被視為身分資料，包括使用者、群組、角色、政策、身分提供者、其相關資料 （例如 X.509 簽署憑證或內容特定憑證），以及其他帳戶層級設定，例如密碼政策和帳戶別名。

您可以選取登入區域設定期間自動啟用選擇加入區域。您的登陸區域會在所有選取的區域中變成作用中。

如果您選擇選擇加入區域做為 AWS Control Tower 主區域，請先依照啟用區域中的步驟，在登入 管理主控台時啟用該區域。 AWS 若要從選擇加入的區域使用您自己的現有日誌封存和稽核帳戶，請先手動啟用該區域。

AWS 選擇加入的區域包括數個可使用 AWS Control Tower 的區域：

  • 亞太區域 （香港） 區域，ap-east-1

  • 亞太區域 （雅加達） 區域，ap-southeast-3

  • 歐洲 （米蘭） 區域，eu-south-1

  • 非洲 （開普敦） 區域，af-south-1

  • 中東 （巴林） 區域，me-south-1

  • 以色列 （特拉維夫），il-central-1

  • 中東 （阿拉伯聯合大公國） 區域，me-central-1

  • 歐洲 （西班牙） 區域，eu-south-2

  • 亞太區域 （海德拉巴） 區域，ap-south-2

  • 歐洲 （蘇黎世） 區域，eu-central-2

  • 亞太區域 （墨爾本） 區域，ap-southeast-4

  • 加拿大西部 （卡加利） 區域，ca-west-1

  • 亞太區域 （泰國）

  • 墨西哥 （中部）

AWS Control Tower 有一些控制項在選擇加入區域中的運作方式與在商業區域中的運作方式不同。如需詳細資訊，請參閱控制限制。當您將工作負載部署到選擇加入區域時，請注意下列事項。

管理或啟用？

請記住，管理區域是您可以從 AWS Control Tower 主控台選取的動作，因此可以在區域中套用控制項。啟用或停用選擇加入區域是您可以在 主控台中選擇 AWS 的不同動作，這會將區域開啟至您的帳戶，讓您可以在區域中部署資源和工作負載。

行為考量事項

  • 如果您選擇管理選擇加入區域，建議您不要停用 （選擇退出） 任何受管選擇加入區域，因為這可能會導致工作負載失敗。AWS Control Tower 不允許從 AWS Control Tower 主控台內停用受管區域，但請務必不要從 AWS Control Tower 外部的來源停用受管區域，例如 AWS Billing 主控台或 AWS SDK。

  • 當 AWS Control Tower 將管控擴展到選擇加入區域時，它會啟用 （選擇加入） 到所有成員帳戶中的區域。當您從控管中移除區域時，AWS Control Tower 不會停用 （選擇退出） 成員帳戶中的區域。

  • 在取消選取區域期間，如果已從 AWS Control Tower 外部來源手動停用帳戶的資源，例如 AWS 帳單主控台或 AWS SDK，則 AWS Control Tower 會略過從選擇加入區域移除資源。我們建議您從已停用的區域移除資源，否則您可能會收到這些資源的意外帳單費用。

  • 如果您的登陸區域已停用，AWS Control Tower 會清除所有受管區域中的資源，包括選擇加入區域。不過，AWS Control Tower 不會停用選擇加入區域。您可以停用選擇加入區域，做為停用後的額外步驟。

  • 如果您的主要區域是選擇加入區域，而且如果您想要將現有帳戶註冊為日誌封存和稽核帳戶，您必須先手動啟用選擇加入區域，才能選取該區域做為登陸區域的主要區域。請參閱啟用區域。

  • 如果 AWS Control Tower 已設定選擇加入區域做為您的主要區域，而且如果您從任何其他區域的 AWS 主控台造訪 AWS Control Tower 服務，則主控台不會自動將您重新導向至主要區域。

  • 基礎 API 具有容量限制，這可能會根據區域、帳戶和服務負載的數量，將延遲從幾分鐘增加到數小時。最佳實務是僅選擇加入您將執行工作負載 AWS 區域 的 ，並一次選擇加入一個區域。

控管和帳戶的重要限制

  • 如果 16 個以上可使用 AWS Control Tower 的商業區域受管，包括選擇加入區域，則在註冊 OU 時，每個組織單位 (OU) 的帳戶數量上限會減少。如需詳細資訊，請參閱以基礎 AWS 服務為基礎的限制。