Die Organisation verwendet AWS Organizations und hat AWS Config in Mitgliedskonten über CloudFormation StackSets aktiviert. Vertrauenswürdiger Zugriff ist aktiviert, und ein Mitgliedskonto ist der delegierte Administrator für AWS Config. Das Sicherheitsteam benötigt eine zentralisierte Sicherheits-Baseline von AWS Config-Regeln (einschließlich Korrekturmaßnahmen), die für alle bestehenden und zukünftigen Mitgliedskonten durchgesetzt wird. Nicht-Admin-Benutzer in Mitgliedskonten müssen daran gehindert werden, die zentral verwaltete Baseline zu ändern. Welcher Ansatz erfüllt diese Anforderungen?

Die korrekte Antwort ist, ein AWS Config Conformance Pack zu erstellen und es vom delegierten Administratorkonto aus bereitzustellen. Conformance Packs sind Sammlungen von AWS Config-Regeln und Korrekturmaßnahmen, die als einzelne Einheit bereitgestellt werden können, was eine zentralisierte Verwaltung ermöglicht. Da ein delegiertes Administratorkonto für AWS Config eingerichtet ist, kann dieses Konto die Conformance Packs in allen Mitgliedskonten bereitstellen und verwalten. Dies stellt sicher, dass die Sicherheits-Baseline zentral durchgesetzt wird und Nicht-Admin-Benutzer in Mitgliedskonten die Regeln nicht ändern können. Die anderen Optionen sind weniger geeignet, da die Bereitstellung einzelner CloudFormation-Vorlagen über StackSets vom Verwaltungskonto aus zwar möglich wäre, aber nicht die spezifische Funktionalität von Conformance Packs für die Bündelung von Regeln und Korrekturmaßnahmen nutzt. Die Bereitstellung von Conformance Packs vom Verwaltungskonto aus ist nicht optimal, da das delegierte Administratorkonto für AWS Config bereits eingerichtet ist und die zentrale Verwaltung übernehmen sollte.