Организация использует все функции AWS Organizations, в настоящее время имеет 10 аккаунтов и планирует расшириться до ~500 аккаунтов и нескольких OU. CloudTrail и AWS Config включены в существующих аккаунтах. Как можно гарантировать автоматическое включение AWS Config для каждого нового аккаунта, созданного в организации?

Правильный ответ — создание набора стеков AWS CloudFormation с автоматическим развертыванием при создании аккаунта. AWS CloudFormation StackSets позволяет развертывать, обновлять или удалять стеки CloudFormation в нескольких аккаунтах и регионах из одного административного аккаунта. Интеграция с AWS Organizations позволяет автоматически развертывать стеки в новых аккаунтах по мере их добавления в организацию, что идеально подходит для обеспечения соответствия требованиям, таким как включение AWS Config. Неправильные варианты: Правило Amazon EventBridge с вызовом Lambda для включения доверенного доступа AWS Config для организации: Это включает доверенный доступ для всей организации, но не активирует AWS Config в каждом отдельном аккаунте. Для активации в аккаунте требуется дополнительная логика. Создание SCP: SCP (Service Control Policies) используются для установки максимальных разрешений для аккаунтов, но они не активируют сервисы. SCP может разрешить активацию AWS Config, но не выполнит ее. Правило Amazon EventBridge с вызовом runbook AWS Systems Manager Automation: Хотя это технически возможно, StackSets является более нативным и масштабируемым решением для автоматического развертывания ресурсов в новых аккаунтах Organizations, требуя меньше пользовательской логики и обслуживания.