是否可以在向组织添加新账户时自动启用 AWS Config？答案

【问题标题】：Is it possible to auto enable AWS Config on addition of a new account to organisation?是否可以在向组织添加新账户时自动启用 AWS Config？
【发布时间】：2021-11-03 16:15:21
【问题描述】：

AWS 在 Security Hub 中自动加入/自动启用记录新资源和帐户，我很乐意使用它。我想为 AWS Config 启用相同类型的设置，目前需要对我组织的所有新账户进行手动设置。但是，我在 Config 中找不到与上述 Security Hub 功能类似的功能。

是我错过了它还是它目前无法开箱即用？

【问题讨论】：

标签： amazon-web-services aws-config aws-security-hub

【解决方案1】：

@Ido Van Orell 我认为 AWS Config 中没有本机功能，但您可以利用 CloudFormation 堆栈集。

创建启用 AWS Config 的 CloudFormation 模板。将其部署为启用了automatic deployment 的堆栈集。这应确保在新账户加入您的组织时启用 AWS Config。

如果您有机会使用 AWS Control Tower，您还会在账户被售出时收到一个事件，您可以在后面运行自动化。

{
          "detail-type": ["AWS Service Event via CloudTrail"],
          "source": ["aws.controltower"],
          "detail":
            {
              "eventName": ["CreateManagedAccount"],
              "serviceEventDetails":
                { "createManagedAccountStatus": { "state": ["SUCCEEDED"] } },
            },
        }

使用 AWS Config Aggregator 与 AWS Organizations 的集成，在启用了 Config 的组织的所有账户和区域中获得单一窗格视图。参考this

【讨论】：