Организация использует AWS Organizations и включила AWS Config для дочерних аккаунтов с помощью CloudFormation StackSets. Доверенный доступ включен, и дочерний аккаунт является делегированным администратором для AWS Config. Команде безопасности требуется централизованная базовая конфигурация правил AWS Config (включая действия по исправлению), которая применяется ко всем существующим и будущим дочерним аккаунтам. Пользователям, не являющимся администраторами в дочерних аккаунтах, должно быть запрещено изменять централизованно управляемую базовую конфигурацию. Какой подход удовлетворяет этим требованиям?

Правильный ответ — создание пакета соответствия AWS Config, включающего правила и действия по исправлению, и его развертывание из аккаунта делегированного администратора с помощью AWS Config. Пакеты соответствия позволяют централизованно развертывать и управлять наборами правил AWS Config и действий по исправлению в нескольких аккаунтах и регионах. Развертывание из аккаунта делегированного администратора гарантирует, что пакеты соответствия применяются ко всем существующим и будущим дочерним аккаунтам, а также предотвращает изменение централизованной конфигурации пользователями, не являющимися администраторами, в дочерних аккаунтах. Вариант с CloudFormation StackSets неверен, поскольку StackSets не обеспечивает встроенной защиты от изменений правил Config пользователями в дочерних аккаунтах. Кроме того, пакеты соответствия специально разработаны для агрегирования правил Config и действий по исправлению. Развертывание через AWS Config из аккаунта делегированного администратора является ключевым для централизованного управления и предотвращения несанкционированных изменений.