De organisatie gebruikt AWS Organizations en heeft AWS Config ingeschakeld voor member accounts via CloudFormation StackSets. Vertrouwde toegang is ingeschakeld en een member account is de gedelegeerde beheerder voor AWS Config. Het beveiligingsteam heeft een gecentraliseerde beveiligingsbaseline van AWS Config-regels (inclusief herstelacties) nodig die wordt afgedwongen voor alle bestaande en toekomstige member accounts. Niet-beheerders in member accounts moeten worden verhinderd de centraal beheerde baseline aan te passen. Welke aanpak voldoet aan deze vereisten?

De juiste aanpak is het maken en implementeren van een AWS Config conformance pack vanuit het gedelegeerde beheerdersaccount. AWS Config conformance packs zijn ontworpen voor het implementeren van een verzameling AWS Config-regels en herstelacties als een enkele entiteit, wat ideaal is voor het afdwingen van een beveiligingsbaseline. Door dit vanuit het gedelegeerde beheerdersaccount te doen, kunnen de conformance packs centraal worden beheerd en geïmplementeerd in alle member accounts binnen de organisatie. Dit voorkomt dat niet-beheerders in individuele member accounts de centraal beheerde regels kunnen wijzigen, omdat de implementatie en het beheer op een hoger niveau plaatsvinden. CloudFormation StackSets zijn niet de primaire methode voor het implementeren van conformance packs op organisatieniveau; AWS Config heeft hiervoor ingebouwde functionaliteit via de gedelegeerde beheerder. Het gebruik van losse CloudFormation-templates voor elke regel is minder efficiënt en biedt niet dezelfde gecentraliseerde afdwinging en beheer als een conformance pack.