La organización utiliza AWS Organizations y habilitó AWS Config en todas las cuentas miembro a través de CloudFormation StackSets. El acceso de confianza está habilitado y una cuenta miembro es el administrador delegado para AWS Config. El equipo de seguridad necesita una línea base de seguridad centralizada de reglas de AWS Config (incluidas las acciones de remediación) que se aplique a todas las cuentas miembro existentes y futuras. Se debe evitar que los usuarios que no son administradores en las cuentas miembro modifiquen la línea base administrada centralmente. ¿Qué enfoque satisface estos requisitos?

La opción correcta es crear un paquete de conformidad de AWS Config desde la cuenta de administrador delegado. AWS Config Conformance Packs permiten implementar un conjunto de reglas de AWS Config y acciones de remediación como una sola unidad en varias cuentas de AWS Organizations. Al implementarlo desde la cuenta de administrador delegado, se aprovecha la capacidad de administración centralizada de AWS Config para todas las cuentas miembro, incluyendo las futuras. Esto asegura que los usuarios en las cuentas miembro no puedan modificar la línea base, ya que la administración se realiza centralmente. Las opciones que usan CloudFormation StackSets no son ideales para AWS Config Conformance Packs, ya que estos se gestionan directamente a través de AWS Config. La opción de usar una plantilla de CloudFormation para reglas individuales no ofrece la misma capacidad de empaquetado y gestión centralizada que un Conformance Pack.