L'organizzazione utilizza AWS Organizations e ha abilitato AWS Config su tutti gli account membro tramite CloudFormation StackSets. L'accesso attendibile è abilitato e un account membro è l'amministratore delegato per AWS Config. Il team di sicurezza necessita di una baseline di sicurezza centralizzata delle regole AWS Config (incluse le azioni di remediation) che sia applicata a tutti gli account membro esistenti e futuri. Gli utenti non amministratori negli account membro devono essere impediti di modificare la baseline gestita centralmente. Quale approccio soddisfa questi requisiti?

L'opzione corretta è creare un conformance pack di AWS Config e distribuirlo dall'account amministratore delegato. I conformance pack sono la soluzione ideale per implementare un set di regole AWS Config e azioni di remediation in modo centralizzato e standardizzato su più account. Consentono di definire una baseline di sicurezza e di applicarla in modo coerente. La distribuzione dall'account amministratore delegato per AWS Config garantisce che la gestione sia centralizzata come richiesto. Inoltre, i conformance pack impediscono agli utenti non amministratori negli account membro di modificare le regole, soddisfacendo il requisito di immutabilità della baseline. Le altre opzioni sono meno efficaci: L'uso di CloudFormation StackSets per distribuire un template contenente regole Config non sfrutta le funzionalità native dei conformance pack per la gestione centralizzata e l'applicazione delle regole. La distribuzione di un conformance pack dall'account di gestione di Organizations tramite StackSets non è il metodo standard per i conformance pack, che vengono gestiti tramite l'API di AWS Config, spesso dall'account amministratore delegato. La distribuzione di un template CloudFormation dall'account amministratore delegato non offre i vantaggi di gestione e immutabilità dei conformance pack.