Die FinServe Bank betreibt 200 AWS-Konten in AWS Organizations über mehrere OUs hinweg. Der CISO möchte eine konsistente Compliance-Grundlage mit automatischer Behebung gängiger Befunde (z. B. unverschlüsselte EBS-Volumes) durchsetzen und die unternehmensweite Compliance an einem Ort einsehen. Welcher Ansatz ist der EFFIZIENTESTE?

Die Bereitstellung eines Organization Conformance Packs über das delegierte AWS Config-Administratorkonto in den Ziel-OUs ist der effizienteste Ansatz. Conformance Packs ermöglichen die Bereitstellung mehrerer AWS Config-Regeln und Behebungsaktionen als eine einzige Einheit in der gesamten Organisation oder in spezifischen OUs. Die Integration mit SSM Automation ermöglicht die automatische Behebung gängiger Befunde. Ein AWS Config Aggregator bietet eine zentrale Ansicht der Compliance-Status über alle Konten hinweg. AWS Control Tower ist für die Einrichtung neuer Umgebungen optimiert und erfordert für bestehende Konten eine erhebliche Migration oder Anpassung, was ineffizient wäre. AWS Security Hub bietet zwar Compliance-Checks, ist aber primär ein Aggregator für Sicherheitsbefunde und nicht für die automatische Behebung von Konfigurationsabweichungen in großem Umfang konzipiert. Die manuelle Bereitstellung einzelner AWS Config-Regeln und Behebungsdokumente über CloudFormation StackSets ist bei 200 Konten und mehreren Regionen ressourcenintensiv und fehleranfällig.