Een organisatie heeft alle functies ingeschakeld in AWS Organizations, met momenteel 10 accounts en plannen om uit te breiden naar ongeveer 500 accounts en meerdere OU's. CloudTrail en AWS Config zijn ingeschakeld in bestaande accounts. Hoe kunt u ervoor zorgen dat AWS Config automatisch wordt ingeschakeld voor elk nieuw account dat in de organisatie wordt aangemaakt?

De meest efficiënte en schaalbare manier om AWS Config automatisch in te schakelen voor nieuwe accounts in AWS Organizations is door gebruik te maken van een AWS CloudFormation StackSet. StackSets maken het mogelijk om CloudFormation-stacks te implementeren in meerdere accounts en regio's vanuit een centrale beheeraccount. Wanneer u een StackSet configureert met automatische implementatie, zal AWS Organizations deze StackSet automatisch implementeren in elk nieuw account dat aan de organisatie wordt toegevoegd. Dit zorgt voor consistente configuratie en governance over alle accounts. De andere opties zijn minder geschikt: Een EventBridge-regel die een Lambda-functie aanroept om vertrouwde toegang in te schakelen, schakelt Config niet daadwerkelijk in voor het account zelf, maar beheert alleen de integratie met Organizations. Een SCP (Service Control Policy) kan alleen machtigingen beperken of toestaan; het kan geen acties uitvoeren zoals het inschakelen van een service. Een EventBridge-regel die een Systems Manager Automation runbook aanroept, is een mogelijke oplossing, maar een CloudFormation StackSet is specifiek ontworpen voor het consistent implementeren van resources over meerdere accounts en is daarom de voorkeursmethode voor dit scenario.