Une organisation a activé toutes les fonctionnalités dans AWS Organizations, avec 10 comptes actuellement et prévoit de passer à environ 500 comptes et plusieurs unités d'organisation (OU). CloudTrail et AWS Config sont activés dans les comptes existants. Comment pouvez-vous vous assurer qu'AWS Config est automatiquement activé pour chaque nouveau compte créé dans l'organisation ?

La bonne réponse est de créer un stack set AWS CloudFormation pour activer AWS Config et le configurer pour un déploiement automatique lors de la création d'un compte via Organizations. AWS CloudFormation StackSets permet de déployer des stacks CloudFormation dans plusieurs comptes et régions AWS simultanément, ce qui est idéal pour gérer la conformité et la configuration à l'échelle d'une organisation. En configurant le déploiement automatique, chaque nouveau compte aura AWS Config activé sans intervention manuelle. Les autres options sont moins efficaces ou incorrectes : Une règle EventBridge avec une fonction Lambda ou un runbook Systems Manager Automation pourrait activer AWS Config, mais gérer l'état et la conformité à grande échelle serait plus complexe qu'avec CloudFormation StackSets. Une SCP (Service Control Policy) ne peut pas activer un service ; elle peut seulement autoriser ou refuser des actions. Elle ne peut donc pas forcer l'activation d'AWS Config.