AWS Control Tower注册失败账号无法在Service Catalog找到如何删除重试

步骤1：清理 Organizations 异常账号残留 #

• 登录AWS根管理账号，进入「AWS Organizations」控制台，定位到注册失败的test账号，确认其账号ID、绑定邮箱等基础信息
• 移除该账号绑定的所有Control Tower相关SCP策略，再将其从原所属的Control Tower管理OU中移出，转移至Root OU
• 若计划复用该test账号的绑定邮箱重新注册，需先将异常账号从组织中彻底删除：先重置test账号的root用户密码，登录test账号主动退出当前组织，再回到根账号的Organizations控制台完成账号删除操作

若使用新邮箱注册test账号，可跳过删除原有异常账号的步骤，直接执行后续清理流程

步骤2：清理 Control Tower 与 Service Catalog 残留资源 #

• 进入根账号的「AWS Control Tower」控制台，打开「Landing zone settings」页面，先将Landing Zone升级到最新可用版本，排除版本兼容性bug导致的注册失败问题
• 进入「Service Catalog」控制台，切换为管理员视角，打开「Provisioned products」页面，在筛选栏中勾选失败、已终止状态的项目，注册失败的账号预置项默认会被隐藏在成功状态列表外，找到对应test账号的条目后执行终止操作
• 若仍无法找到对应预置项，直接进入CloudFormation控制台，找到与Control Tower账号注册相关的StackSet，手动删除test账号对应的失败StackSet实例，关联的底层资源会同步清理
• 检查根账号及未删除的test账号下的IAM角色，删除所有前缀为AWSControlTowerExecution、AWSServiceCatalog的临时角色，避免权限残留导致重复注册失败

步骤3：重新发起账号注册 #

• 确认所有残留资源清理完成后，重新进入Control Tower「Accounts」页面，选择「创建账号」
• 填写账号信息时确保绑定邮箱未被其他AWS账号占用，选择正确的测试环境对应OU
• 注册过程中不要刷新页面，等待5~10分钟即可完成注册

若多次注册仍失败，可在CloudTrail中筛选对应时间段的CreateManagedAccount事件，查看具体错误原因，常见问题包括服务配额超限、IAM权限不足、邮箱格式不符合要求等

内容的提问来源于stack exchange，提问作者Frankster