Un'organizzazione ha tutte le funzionalità abilitate in AWS Organizations, con 10 account attivi e prevede di crescere fino a circa 500 account e più OU. CloudTrail e AWS Config sono abilitati negli account esistenti. Come puoi assicurarti che AWS Config sia abilitato automaticamente per ogni nuovo account creato nell'organizzazione?

L'opzione corretta è creare un AWS CloudFormation StackSet con provisioning automatico. Gli StackSet di CloudFormation consentono di distribuire e gestire stack di risorse AWS in più account e regioni da un unico modello. Configurando l'implementazione automatica, ogni volta che un nuovo account viene aggiunto all'organizzazione, lo StackSet abiliterà automaticamente AWS Config in quell'account. Questo è un metodo scalabile ed efficiente per garantire la conformità. Le altre opzioni sono meno efficaci o non corrette: Una regola EventBridge con una funzione Lambda per abilitare l'accesso attendibile a AWS Config non abilita AWS Config all'interno del nuovo account, ma configura solo l'organizzazione per consentire a AWS Config di raccogliere dati. Un SCP (Service Control Policy) può consentire le chiamate API, ma non le esegue attivamente per abilitare il servizio. Una regola EventBridge con un runbook di Systems Manager Automation potrebbe funzionare, ma è una soluzione più complessa e meno nativa rispetto agli StackSet per la gestione delle risorse in nuovi account creati tramite Organizations.