通过AWS Control Tower Account Factory创建账号为何需同时创建SSO用户？

为什么创建新账号时要求配置SSO用户 #

Control Tower的设计核心就是落地AWS安全最佳实践，其中第一条就是禁止日常操作使用账号根用户：

• 根用户默认拥有账号的所有最高权限，一旦泄露风险极高，AWS官方仅建议根用户用于少量特殊操作（如修改根邮箱、开启MFA、更改支持计划等）
• 账号创建时同步配置SSO用户，是为了给新账号提供一个开箱即用的日常访问入口，账号创建完成后你直接用这个SSO用户就能登录执行运维操作，不需要再手动配置IAM权限或者SSO分配规则。

已可自主通过AWS SSO分配权限，额外创建SSO用户的作用是什么 #

这个设计主要是覆盖兜底和通用场景：

• 兜底访问能力：如果你的SSO权限分配规则配置错误、或者误删了新账号的权限集分配，这个预配置的SSO用户默认持有新账号的AdministratorAccess权限，不会出现账号创建后无用户可登录的死锁情况
• 降低入门门槛：很多首次使用Control Tower的团队还没有完成SSO用户组、权限模型的梳理，默认创建对应账号的管理员SSO用户，不需要先完成整套权限规划就能直接使用新账号
• 流程层面强制合规：从账号创建环节就避免用户为了图方便直接用根用户登录操作，从流程上落地SSO单点登录的安全要求。

不需要新增用户时能否直接填写现有SSO用户的邮箱 #

完全可以。
只要你填写的邮箱是当前AWS Organization下SSO身份源中已存在的用户邮箱，Account Factory不会重复创建新的SSO用户，只会给这个现有用户追加新账号的对应权限集（默认是管理员权限），不会产生冗余的身份数据，完全符合使用需求。

内容的提问来源于stack exchange，提问作者Derrops