Uma organização tem todos os recursos habilitados no AWS Organizations, com 10 contas atualmente e planos de crescer para cerca de 500 contas e múltiplas OUs. O CloudTrail e o AWS Config estão habilitados nas contas existentes. Como você pode garantir que o AWS Config seja habilitado automaticamente para cada nova conta criada na organização?

A resposta correta é criar um stack set do AWS CloudFormation na conta de gerenciamento. Os stack sets do CloudFormation podem ser configurados para implantar automaticamente recursos em novas contas AWS criadas dentro de uma organização, tornando-os ideais para garantir a conformidade e a governança desde o início. Isso permite habilitar o AWS Config de forma consistente em todas as contas, incluindo as futuras. As outras opções são menos eficazes ou incorretas: Criar uma regra do EventBridge para invocar uma função Lambda para habilitar o acesso confiável ao AWS Config para a organização não habilita o AWS Config dentro de cada nova conta membro, apenas configura o acesso organizacional. Criar um SCP (Service Control Policy) apenas permite as chamadas de API, mas não habilita ativamente o AWS Config. Um SCP define permissões máximas, não ações. Usar o EventBridge para invocar um runbook do Systems Manager Automation para cada nova conta é uma abordagem possível, mas o CloudFormation StackSets é a solução nativa e mais robusta para provisionamento automático em escala organizacional.