Migrate AWS accounts between Control Towers(工作日常)

客戶詢問：

目前有Ｂ帳號使用 Control Tower 管理多帳號，有建立organizations 管理 OUs，我現在需要搬回到這個Ａ帳號（Ｂ org to A org）。

目前知道的步驟為

1.Ａ帳號需要先建立新organizations ，複製一樣的權限如 Scp

2.Ａ帳號建立新 Control Tower（準備兩組新email），啟用一樣的 Control 權限，與新配置 SSO 權限

3.將 Ａ帳號的 control tower execution role , trust account 填入 Ｂ 帳號

4.Ａ帳號 Organizations > Services > 啟用CloudFormation StackSets

5. B帳號下的子帳號離開組織(需要完成註冊步驟)

6.子帳號 刪除 Control Tower 創建的角色、AWS Config 和 Control Tower 創建的 CloudWatch Log 組（CloudFormation stacks）

7.邀請子帳號到 A 帳號 Organizations

8.Ａ帳號 Control Tower 重新Enroll Account

9.最後將B帳號 停用Control Tower

10.將B帳號Organizations master ，刪除Organizations

目前知道 Audit Log, Archive Log 需要手動移動到Ａ帳號，以上步驟我有遺漏相關資訊嗎？

假設上述步驟有錯，可以指正我嗎？

額外詢問這樣遷移，會影響到我現有的服務（例如停機）？

----以下回答----

在敘述中了解您想將 Control Tower 所管櫟相關子帳號轉移至另一個已存在帳號中，想確認相關步驟以及是否對現在已經使用/建立資源會有影響。若是我理解有誤，請麻煩告知指正。

首先，從您所條列步驟與相關文件確認 [1][2] 後，看起來是沒有問題的，但是 Control Tower 可能會將其所部署相關資源移除，因此若您想要避免不預期狀況發生而造成 downtime，建議您也可以考慮在帳號 A 下重新建立 B 帳號下所有資源後遷移服務的方式進行相關操作。

===== To unmanage an enrolled account [1] =====

When you unmanage a customized account, AWS Control Tower removes the resources that the blueprint has deployed, as well as any other resources that AWS Control Tower created within the account.

==============================

建議您先在測試環境中，驗證有關此帳號資源轉移的所有操作並且確認沒有相關問題後，再到您 Production/正式帳號中進行相關操作。


經過內部團隊同仁確認，從您所提供的步驟，目前並沒有看到相關風險存在，而有關是否會有資源被刪除，這部分與您使用的設定有關，以下為參考範例，相關設定還需要由您自行確認。

===== 範例情境 =====

(1) 如果您使用 Customizations for AWS Control Tower (CfCT) v2.5.0 以上版本並將 "enable_stack_set_deletion" 設定為 "true" [1]，這樣當您在操作 "unmanage a customized account" 相關步驟時，會將相關客製化 stack 一併移除，反之，殘留資源您需要自行清理。

(2) 如您使用 Account Factory Customization (AFC) [2]，則須先在沒有 blueprint 情況下更新帳號，再執行 unmanage 相關操作。

(3) 如您使用 Account Factory for Terraform [3]，您則需手動刪除由 AFT 管理帳號的客製化 pipeline。

......等等

=========================

目前僅有您所提到的帳號間互相轉移，或是 A 帳號下重新建立 B 帳號下所有資源後遷移服務的方式，因此僅能建議在您所能承擔轉移風險限度內，進行相關評估後再進行相關操作。