L'organisation utilise AWS Organizations et a activé AWS Config sur les comptes membres via CloudFormation StackSets. L'accès de confiance est activé et un compte membre est l'administrateur délégué pour AWS Config. L'équipe de sécurité a besoin d'une base de référence de sécurité centralisée des règles AWS Config (y compris les actions de remédiation) qui est appliquée à tous les comptes membres existants et futurs. Les utilisateurs non-administrateurs des comptes membres doivent être empêchés de modifier la base de référence gérée de manière centralisée. Quelle approche répond à ces exigences ?

La bonne approche est de créer un pack de conformité AWS Config et de le déployer depuis le compte administrateur délégué. Un pack de conformité est une collection de règles AWS Config et d'actions de remédiation qui peuvent être déployées en tant qu'unité unique sur plusieurs comptes et régions. Le déploiement depuis le compte administrateur délégué garantit une gestion centralisée et empêche les utilisateurs non-administrateurs des comptes membres de modifier la base de référence. Les autres options sont incorrectes car : L'utilisation de CloudFormation StackSets directement pour les règles AWS Config ne permet pas une gestion centralisée des packs de conformité et des actions de remédiation de la même manière qu'un pack de conformité AWS Config. Le déploiement depuis le compte de gestion n'est pas la méthode recommandée pour AWS Config lorsque l'accès de confiance est activé et qu'un administrateur délégué est désigné. L'utilisation d'un modèle CloudFormation pour les règles AWS Config et les actions de remédiation ne fournit pas la même fonctionnalité de gestion de la conformité qu'un pack de conformité AWS Config.