A organização usa o AWS Organizations e habilitou o AWS Config em contas de membros por meio de CloudFormation StackSets. O acesso confiável está habilitado e uma conta de membro é o administrador delegado para o AWS Config. A equipe de segurança precisa de uma linha de base de segurança centralizada de regras do AWS Config (incluindo ações de remediação) que seja aplicada a todas as contas de membros existentes e futuras. Usuários não administradores em contas de membros devem ser impedidos de modificar a linha de base gerenciada centralmente. Qual abordagem satisfaz esses requisitos?

A opção correta é criar um pacote de conformidade do AWS Config que contenha as regras e ações de remediação, e implantá-lo na conta de administrador delegado usando o AWS Config. Isso permite a implantação centralizada de uma linha de base de segurança em todas as contas de membros, incluindo as futuras, e impede que usuários não administradores modifiquem a linha de base. O AWS Config Conformance Packs são projetados para implantar um conjunto de regras e ações de remediação como uma única unidade, e a implantação a partir da conta de administrador delegado garante o controle centralizado e a aplicação consistente. As opções que usam CloudFormation StackSets para implantar modelos do CloudFormation não são ideais porque não fornecem o mesmo nível de gerenciamento e controle centralizado para regras do Config e ações de remediação que os Conformance Packs. Além disso, a implantação a partir da conta de gerenciamento do Organizations não é a prática recomendada para o AWS Config quando um administrador delegado está configurado.