Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Menyediakan dan mengelola akun dengan Account Factory
**catatan**
Penyediaan, pembaruan, dan penyesuaian akun tunggal harus menargetkan unit organisasi (OU) dengan AWSControl TowerBaseline diaktifkan. Jika OU tidak mengaktifkan, Anda dapat mengaktifkan pendaftaran otomatis akun atau menggunakan ResetEnabledBaseline dan ResetEnabledControl APIs pada EnabledBaselines dan EnabledControls pada OU itu untuk mendaftarkan akun. AWSControl TowerBaseline Untuk detailnya AWSControlTowerBaseline, lihat:[Jenis dasar yang berlaku di tingkat OU](types-of-baselines.md#ou-baseline-types).
Bab ini mencakup ikhtisar dan prosedur untuk menyediakan akun anggota baru di landing zone AWS Control Tower dengan Account Factory.
## Izin untuk mengonfigurasi dan menyediakan akun
AWS Control Tower Account Factory memungkinkan administrator dan pengguna cloud AWS IAM Identity Center untuk menyediakan akun di landing zone Anda. Secara default, pengguna IAM Identity Center yang menyediakan akun harus berada dalam `AWSAccountFactory` grup atau grup manajemen.
**catatan**
Berhati-hatilah saat bekerja dari akun manajemen, seperti yang Anda lakukan saat menggunakan akun apa pun yang memiliki izin di seluruh organisasi Anda.
Akun manajemen AWS Control Tower memiliki hubungan kepercayaan dengan `AWSControlTowerExecution` peran tersebut, yang memungkinkan penyiapan akun dari akun manajemen, termasuk beberapa pengaturan akun otomatis. Untuk informasi selengkapnya tentang `AWSControlTowerExecution` peran, lihat [Peran dan akun](https://docs.aws.amazon.com//controltower/latest/userguide/roles-how.html).
**catatan**
Untuk mendaftarkan yang sudah ada Akun AWS ke AWS Control Tower, akun tersebut harus mengaktifkan `AWSControlTowerExecution` peran tersebut. Untuk informasi selengkapnya tentang cara mendaftarkan akun yang ada, lihat[Tentang mendaftarkan akun yang ada](enroll-account.md).
Untuk informasi selengkapnya tentang izin, lihat [Izin diperlukan untuk menyediakan akun](provision-and-manage-accounts.md#permissions).
## Pertimbangan untuk mengelola akun di Account Factory
Anda dapat memperbarui, membatalkan pendaftaran, dan menutup akun yang Anda buat dan sediakan melalui Account Factory. Anda dapat mendaur ulang akun dengan memperbarui parameter pengguna di akun yang ingin Anda gunakan kembali. Anda juga dapat mengubah unit organisasi akun (OU).
**catatan**
Saat memperbarui produk yang disediakan yang terkait dengan akun yang dijual Account Factory, jika Anda menentukan alamat email pengguna baru AWS IAM Identity Center, AWS Control Tower akan membuat pengguna baru di IAM Identity Center. Akun yang dibuat sebelumnya tidak dihapus. Untuk informasi tentang menghapus alamat email pengguna IAM Identity Center sebelumnya dari Pusat Identitas IAM, lihat [Menonaktifkan](https://docs.aws.amazon.com//singlesignon/latest/userguide/disableuser.html) Pengguna.
# Perbarui dan pindahkan akun dengan AWS Control Tower
Cara termudah untuk memperbarui akun terdaftar adalah melalui konsol AWS Control Tower. Pembaruan akun individual berguna untuk menyelesaikan penyimpangan, seperti. [Akun anggota yang dipindahkan](governance-drift.md#drift-account-moved) Pembaruan akun juga diperlukan sebagai bagian dari pembaruan landing zone penuh.
## Perbarui akun di konsol
**Untuk memperbarui akun di konsol AWS Control Tower**
1. Saat masuk ke AWS Control Tower, navigasikan ke halaman **Organisasi**.
1. Dalam daftar OUs dan akun, pilih nama akun yang ingin Anda perbarui. Akun yang tersedia untuk diperbarui menunjukkan status **Pembaruan yang tersedia**.
1. Selanjutnya Anda akan melihat halaman **Detail akun** untuk akun yang Anda pilih.
1. Di kanan atas, pilih **Perbarui akun**.
Jika Anda memindahkan akun dari satu unit organisasi (OU) ke yang lain, ingatlah bahwa kontrol yang diterapkan oleh OU baru mungkin berbeda dari kontrol di OU sebelumnya. Pastikan bahwa kontrol di OU baru memenuhi persyaratan kebijakan Anda untuk akun tersebut.
Akun AWS Control Tower dimodifikasi secara berbeda, tergantung pada apakah Anda telah ikut serta untuk pendaftaran akun secara otomatis atau tidak. Untuk informasi selengkapnya tentang pendaftaran otomatis, lihat. [Konfigurasikan pendaftaran otomatis untuk akun secara opsional](configure-auto-enroll.md)
**Kontrol perilaku saat akun dipindahkan antara OUs, dengan pendaftaran otomatis diaktifkan**
Saat Anda memindahkan akun ke OU baru, AWS Control Tower menerapkan garis dasar dan kontrol OU yang diaktifkan ke akun tersebut. Kontrol dan garis dasar dari OU sebelumnya dihapus. Jika Anda memindahkan akun di luar OU yang terdaftar, AWS Control Tower menghapus semua garis dasar dan kontrol yang diterapkan.
**Kontrol perilaku saat akun dipindahkan antara OUs, tanpa registrasi otomatis**
Ketika Anda memindahkan akun di antara OUs, kontrol untuk tujuan OU diterapkan ke akun. Namun, kontrol yang diterapkan ke akun dari OU sebelumnya tidak dihapus. Perilaku yang tepat dari kontrol khusus untuk implementasi kontrol yang aktif pada OU sebelumnya dan OU tujuan.
+ *Untuk kontrol yang diterapkan dengan AWS Config aturan:* Kontrol dari OU sebelumnya tidak dihapus. Kontrol ini harus dihapus secara manual.
+ *Untuk kontrol yang diterapkan dengan SCPs:* Kontrol berbasis SCP dari OU sebelumnya adalah dihapus. Kontrol berbasis SCP untuk tujuan OU mulai berlaku pada akun ini.
+ *Untuk kontrol yang diimplementasikan dengan CloudFormation kait: Perilaku* ini tergantung pada status kontrol di OU baru.
+ *Jika tujuan OU tidak memiliki kontrol berbasis kait aktif:* Yang lama kontrol tetap aktif untuk akun yang dipindahkan, kecuali jika Anda menghapusnya secara manual.
+ *Jika tujuan OU memiliki kontrol kait aktif:* Kontrol lama adalah dihapus dan kontrol di OU tujuan diterapkan ke akun.
# Mengubah alamat email dari akun terdaftar
Untuk mengubah alamat email akun anggota terdaftar di AWS Control Tower, ikuti prosedur di bagian ini.
**catatan**
Prosedur berikut tidak memungkinkan Anda mengubah alamat email **akun manajemen, akun** **arsip log**, atau **akun audit**. Untuk informasi selengkapnya tentang itu, lihat [Bagaimana cara mengubah alamat email yang terkait dengan AWS akun saya?](https://aws.amazon.com//premiumsupport/knowledge-center/change-email-address/) atau hubungi AWS Support.
**Untuk mengubah alamat email akun yang dibuat AWS Control Tower**
1. Pulihkan kata sandi pengguna root untuk akun tersebut. Anda dapat mengikuti langkah-langkah dalam artikel [Bagaimana cara memulihkan AWS kata sandi yang hilang atau terlupakan?](https://aws.amazon.com//premiumsupport/knowledge-center/recover-aws-password/)
1. Masuk ke akun dengan kata sandi pengguna root.
1. Ubah alamat email seperti yang Anda lakukan untuk yang lain Akun AWS, dan tunggu perubahannya tercermin AWS Organizations. Anda mungkin mengalami penundaan saat perubahan alamat email selesai diperbarui.
1. Perbarui produk yang disediakan di Service Catalog menggunakan alamat email yang sebelumnya milik akun. Proses untuk memperbarui produk yang disediakan termasuk mengaitkan alamat email baru dengan produk yang disediakan. Dengan cara ini perubahan alamat email berlaku di AWS Control Tower. Gunakan alamat email baru untuk pembaruan produk yang selanjutnya disediakan.
Untuk mengubah kata sandi atau alamat email akun anggota yang Anda buat AWS Organizations, lihat [Mengakses akun anggota sebagai pengguna root](https://docs.aws.amazon.com//organizations/latest/userguide/orgs_manage_accounts_access.html#orgs_manage_accounts_access-as-root) di *Panduan AWS Organizations Pengguna*.
Atau, Anda dapat memperbarui alamat email untuk Account Factory atau akun anggota lainnya dari AWS Organizations konsol tanpa masuk sebagai pengguna root. Untuk informasi selengkapnya, lihat [Memperbarui alamat email pengguna root untuk akun anggota AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_accounts_update_primary_email.html) di *Panduan AWS Organizations Pengguna*.
# Mengubah nama akun terdaftar
Ikuti prosedur di bagian ini untuk mengubah nama akun AWS Control Tower yang terdaftar.
**catatan**
Untuk mengubah nama akun AWS *administrator*, Anda harus memiliki izin admin dan masuk sebagai pengguna root akun.
**Untuk mengubah nama akun yang dibuat oleh AWS Control Tower, dengan menggunakan AWS Organizations konsol atau APIs**
+ Ikuti [petunjuk yang tersedia](https://docs.aws.amazon.com//accounts/latest/reference/manage-acct-update-acct-name.html#update-account-name-orgs) di *Panduan Referensi Manajemen AWS Akun*.
**Metode alternatif untuk mengubah nama akun yang dibuat oleh AWS Control Tower**
1. Pulihkan kata sandi root untuk akun. Anda dapat mengikuti langkah-langkah yang diuraikan dalam artikel ini, [Bagaimana cara memulihkan AWS kata sandi yang hilang atau terlupakan?](https://aws.amazon.com//premiumsupport/knowledge-center/recover-aws-password/)
1. Masuk ke akun dengan kata sandi root.
1. Di AWS Billing konsol, navigasikan ke halaman **Pengaturan akun**.
1. Ubah nama di **pengaturan Akun**, seperti yang Anda lakukan untuk yang lain Akun AWS.
1. AWS Control Tower secara otomatis memperbarui dirinya sendiri untuk mencerminkan perubahan nama. Pembaruan ini tidak akan tercermin dalam produk yang disediakan di. AWS Service Catalog
# Konfigurasikan Account Factory dengan pengaturan Amazon Virtual Private Cloud
Account Factory memungkinkan Anda membuat baseline dan opsi konfigurasi yang telah disetujui sebelumnya untuk akun di organisasi Anda. Anda dapat mengonfigurasi dan menyediakan akun baru melalui AWS Service Catalog.
Pada halaman Account Factory, Anda dapat melihat daftar unit organisasi (OUs) dan status **daftar izinnya**. Secara default, semua OUs ada di daftar izinkan, yang berarti bahwa akun dapat disediakan di bawahnya. Anda dapat menonaktifkan tertentu OUs untuk penyediaan akun melalui. AWS Service Catalog
Anda dapat melihat opsi konfigurasi VPC Amazon yang tersedia untuk pengguna akhir Anda saat mereka menyediakan akun baru.
**Untuk mengonfigurasi pengaturan Amazon VPC di Account Factory**
1. Sebagai administrator cloud pusat, masuk ke konsol AWS Control Tower dengan izin administrator di akun manajemen.
1. Dari sisi kiri dasbor, pilih **Account Factory** untuk menavigasi ke halaman konfigurasi jaringan Account Factory. Di sana Anda dapat melihat pengaturan jaringan default ditampilkan. Untuk mengedit, pilih **Edit** dan lihat versi pengaturan konfigurasi jaringan Account Factory yang dapat diedit.
1. Anda dapat memodifikasi setiap bidang pengaturan default sesuai kebutuhan. Pilih opsi konfigurasi VPC yang ingin Anda buat untuk semua akun Account Factory baru yang mungkin dibuat oleh pengguna akhir Anda, dan masukkan pengaturan Anda ke dalam bidang.
+ Pilih **dinonaktifkan** atau **diaktifkan** untuk membuat subnet publik di Amazon VPC. Secara default, subnet yang dapat diakses internet tidak diizinkan.
**catatan**
[Jika Anda menyetel konfigurasi VPC pabrik akun sehingga subnet publik **diaktifkan** saat menyediakan akun baru, pabrik akun mengonfigurasi Amazon VPC untuk membuat NAT Gateway.](https://docs.aws.amazon.com//vpc/latest/userguide/vpc-nat-gateway.html) Anda akan ditagih untuk penggunaan Anda oleh Amazon VPC. Lihat [Harga VPC](https://aws.amazon.com//vpc/pricing/) untuk informasi selengkapnya.
+ Pilih jumlah maksimum subnet pribadi di Amazon VPC dari daftar. Secara default, 1 dipilih. Jumlah maksimum subnet pribadi yang diizinkan adalah 2 per zona ketersediaan.
+ Masukkan kisaran alamat IP untuk membuat akun Anda VPCs. Nilai harus dalam bentuk blok routing antar-domain (CIDR) tanpa kelas (misalnya, defaultnya adalah). `172.31.0.0/16` Blok CIDR ini menyediakan rentang keseluruhan alamat IP subnet untuk VPC yang dibuat Account Factory untuk akun Anda. Dalam VPC Anda, subnet ditetapkan secara otomatis dari rentang yang Anda tentukan, dan ukurannya sama. Secara default, subnet dalam VPC Anda tidak tumpang tindih. Namun, rentang alamat IP subnet di semua akun yang Anda VPCs sediakan bisa tumpang tindih.
+ Pilih wilayah atau semua wilayah untuk membuat VPC saat akun disediakan. Secara default semua wilayah yang tersedia dipilih.
+ Dari daftar, pilih jumlah Availability Zones untuk mengonfigurasi subnet di setiap VPC. Nomor default dan yang direkomendasikan adalah 3.
+ Pilih **Simpan**.
Anda dapat mengatur opsi konfigurasi ini untuk membuat akun baru yang tidak menyertakan VPC. Lihat [langkah-langkahnya](https://docs.aws.amazon.com//controltower/latest/userguide/configure-without-vpc.html).
# Membatalkan pendaftaran akun
Jika Anda membuat akun di Account Factory atau mendaftarkan akun Akun AWS, dan Anda tidak lagi ingin akun tersebut dikelola oleh AWS Control Tower di landing zone, Anda dapat *membatalkan pendaftaran* akun dari konsol AWS Control Tower.
Saat Anda membatalkan pendaftaran akun AWS Control Tower, semua sumber daya yang disediakan oleh AWS Control Tower akan dihapus, termasuk kontrol dan cetak biru apa pun. Akun dipindahkan dari AWS Control Tower OU dan masuk ke area **Root**. Akun tidak lagi menjadi bagian dari OU terdaftar, dan tidak lagi tunduk pada AWS Control Tower SCPs. Anda dapat menutup akun melalui AWS Organizations.
**Untuk membatalkan pendaftaran akun terdaftar dari konsol AWS Control Tower**
1. Buka konsol AWS Control Tower di browser web Anda di [https://console.aws.amazon.com/controltower](https://console.aws.amazon.com/controltower)
1. Di panel navigasi kiri, pilih **Organisasi**.
1. Di halaman **Organisasi**, perluas OU yang berisi akun, dengan memilih tombol **\$1** di dekat OU.
1. Pilih akun dan kemudian pilih **Unmanage**.
**catatan**
Tunggu status akun ditampilkan **Tidak terdaftar**.
Jika Anda tidak lagi membutuhkan akun, tutuplah. Untuk informasi selengkapnya tentang menutup AWS akun, lihat [Menutup akun](https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/close-account.html) di *Panduan AWS Billing Pengguna*
**Membatalkan pendaftaran akun saat pendaftaran otomatis aktif**
Jika kemampuan pendaftaran otomatis aktif di halaman **Pengaturan**, Anda juga dapat membatalkan pendaftaran akun dengan memindahkannya ke OU yang tidak terdaftar di AWS Control Tower. Semua sumber daya AWS Control Tower dihapus. Ketahuilah bahwa Anda tidak membuka pendaftaran akun secara tidak sengaja dengan cara ini. Namun, Anda dapat mendaftarkan kembali akun dengan mengembalikannya ke OU.
Saat Anda membatalkan pendaftaran akun yang disesuaikan, AWS Control Tower menghapus sumber daya yang telah diterapkan oleh landing zone, serta sumber daya lain yang dibuat AWS Control Tower dalam akun tersebut. AWS Control Tower juga menghapus **AWSControlTowerExecution**peran, bahkan jika itu ditambahkan secara manual. Menghapus peran ini sejalan dengan prinsip hak istimewa terkecil, karena peran eksekusi layanan tidak boleh tetap berada di akun yang tidak dikelola.
Setelah Anda membatalkan pendaftaran akun, Anda dapat menutup akun melalui. AWS Organizations
**catatan**
Akun yang tidak terdaftar tidak ditutup atau dihapus. Ketika akun telah dibuka terdaftar, pengguna Pusat Identitas IAM yang Anda pilih saat Anda membuat akun di Account Factory masih memiliki akses administratif ke akun tersebut. Jika Anda tidak ingin pengguna ini memiliki akses administratif, Anda harus mengubah pengaturan ini di Pusat Identitas IAM dengan memperbarui akun di Account Factory dan mengubah alamat email pengguna IAM Identity Center untuk akun tersebut. Untuk informasi selengkapnya, lihat [Perbarui dan pindahkan akun dengan AWS Control Tower](updating-account-factory-accounts.md).
## Panduan video
Video ini (3:25) menjelaskan cara menghapus akun dari AWS Control Tower, mendapatkan akses root ke akun, dan akhirnya menutup akun. Akun AWS Anda juga dapat menutup [akun dengan AWS Organizations API](https://docs.aws.amazon.com//controltower/latest/userguide/delete-account.html). Untuk tampilan yang lebih baik, pilih ikon di sudut kanan bawah video untuk memperbesarnya ke layar penuh. Captioning tersedia.
[](http://www.youtube.com/watch?v=n3eALEKZaHc)
Anda dapat melihat daftar AWS [YouTube video](https://www.youtube.com/playlist?list=PLhr1KZpdzukdS9skEXbY0z67F-wrcpbjm) yang menjelaskan tugas umum di AWS Control Tower.
# Menutup akun yang dibuat di Account Factory
Akun yang dibuat di Account Factory adalah Akun AWS. Untuk informasi tentang penutupan Akun AWS, lihat [Menutup akun](https://docs.aws.amazon.com/awsaccountbilling/latest/aboutv2/close-account.html) di [https://docs.aws.amazon.com//accounts/latest/reference/manage-acct-closing.html ](https://docs.aws.amazon.com//accounts/latest/reference/manage-acct-closing.html ).
**catatan**
Menutup akun Akun AWS tidak sama dengan membuka pendaftaran akun dari AWS Control Tower—ini adalah tindakan terpisah. Anda harus membatalkan pendaftaran akun sebelum Anda menutupnya.
## Menutup akun anggota AWS Control Tower melalui AWS Organizations
Anda dapat menutup akun anggota AWS Control Tower dari akun manajemen organisasi Anda tanpa perlu masuk ke setiap akun anggota satu per satu dengan kredensi root, melalui. AWS Organizations Namun, Anda tidak dapat menutup akun manajemen Anda dengan cara ini.
Saat Anda memanggil AWS Organizations [CloseAccountAPI](https://docs.aws.amazon.com//organizations/latest/APIReference/API_CloseAccount.html), atau menutup akun di AWS Organizations konsol, akun anggota diisolasi selama 90 hari, seperti yang Akun AWS akan terjadi. Akun menunjukkan status **Ditangguhkan** di AWS Control Tower dan AWS Organizations. Jika Anda mencoba bekerja dengan akun selama 90 hari tersebut, AWS Control Tower memberikan pesan kesalahan.
**catatan**
Jika OU telah menangguhkan akun, EnabledControl operasi akan gagal untuk kontrol regional pada target.
Sebelum 90 hari kedaluwarsa, Anda dapat memulihkan akun anggota, seperti yang dapat Anda lakukan dengan apa pun Akun AWS. Setelah waktu 90 hari itu, catatan akun dihapus.
Kami menyarankan, sebagai praktik terbaik, untuk membuka pendaftaran akun anggota sebelum Anda menutup akun itu. Jika Anda menutup akun anggota tanpa terlebih dahulu membatalkan pengelolaannya, AWS Control Tower menunjukkan status akun sebagai **Ditangguhkan**, tetapi juga sebagai **Terdaftar**. Akibatnya, jika Anda mencoba **mendaftarkan ulang** OU akun selama waktu 90 hari tersebut, AWS Control Tower menghasilkan pesan kesalahan. Akun yang ditangguhkan pada dasarnya memblokir tindakan pendaftaran ulang dengan kegagalan pra-pemeriksaan. Jika Anda menghapus akun dari OU, Anda dapat **mendaftarkan ulang** OU, tetapi AWS dapat menghasilkan kesalahan mengenai metode pembayaran yang hilang untuk akun tersebut. Untuk mengatasi kendala ini, buat OU lain, dan pindahkan akun ke OU itu sebelum Anda mencoba mendaftar ulang. Kami merekomendasikan untuk menamai OU ini sebagai **Suspended** OU.
**catatan**
Jika Anda tidak membatalkan pendaftaran akun sebelum Anda menutupnya, Anda harus menghapus produk yang disediakan akun AWS Service Catalog setelah 90 hari tersebut selesai.
Untuk informasi selengkapnya, lihat AWS Organizations dokumentasi tentang [CloseAccountAPI](https://docs.aws.amazon.com//organizations/latest/APIReference/API_CloseAccount.html).
# Pertimbangan Sumber Daya untuk Account Factory
Ketika akun disediakan dengan Account Factory, AWS sumber daya berikut dibuat di dalam akun.
| AWS layanan | Tipe sumber daya | Nama sumber daya |
| --- | --- | --- |
| AWS CloudFormation | Tumpukan | StackSet-AWSControlTowerBP-BASELINE-CLOUDTRAIL-\$1 StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-\$1 StackSet-AWSControlTowerBP-BASELINE-CONFIG-\$1 StackSet-AWSControlTowerBP-BASELINE-ROLES-\$1 StackSet-AWSControlTowerBP-BASELINE-SERVICE-ROLES-\$1 |
| AWS CloudTrail | Jejak | aws-controltower-BaselineCloudTrail |
| Amazon CloudWatch | CloudWatch Aturan Acara | aws-controltower-ConfigComplianceChangeEventRule |
| Amazon CloudWatch | CloudWatch Log | aws-controltower/CloudTrailLogs /aws/lambda/aws-controltower-NotificationForwarder |
| AWS Identity and Access Management | Peran | aws-controltower-AdministratorExecutionRole aws-controltower-CloudWatchLogsRole aws-controltower-ConfigRecorderRole aws-controltower-ForwardSnsNotificationRole aws-controltower-ReadOnlyExecutionRole AWSControlTowerExecution |
| AWS Identity and Access Management | Kebijakan | AWSControlTowerServiceRolePolicy |
| Layanan Notifikasi Sederhana Amazon | Topik | aws-controltower-SecurityNotifications |
| AWS Lambda | Aplikasi | StackSet-AWSControlTowerBP-BASELINE-CLOUDWATCH-\$1 |
| AWS Lambda | Fungsi | aws-controltower-NotificationForwarder |
| Amazon EventBridge | Aturan | AWSControlTowerManagedRule |
| Amazon EventBridge | Aturan | aws-controltower-ConfigComplianceChangeEventRule |