已启用AWS Config，Security Hub仍提示‘应启用AWS Config’的原因排查

• 资源覆盖范围不达标：Security Hub的这条检测规则要求AWS Config必须记录该区域的所有受支持资源类型。如果你的Config只开启了部分资源类型的录制，哪怕控制台显示已启用，也会触发告警。去Config控制台检查“资源类型”设置，确认选的是「包括所有受支持的资源类型」。

• 评估存在延迟：Config刚启用后，Security Hub的规则评估需要时间同步数据，可能延迟几小时甚至更久。先等一段时间，刷新检测结果看看是否自动消失。

• 多账户/组织配置错位：如果是在AWS组织架构下，成员账户的Config需要满足两个条件：要么本地独立启用Config，要么正确关联管理账户的Config聚合器。如果只是管理账户开了Config，成员账户没关联或本地没启用，就会触发告警。

• Config录制状态异常：有时候控制台显示“已启用”，但录制实际处于暂停或故障状态。去Config控制台查看「录制状态」是否为“正在录制”，有没有报错提示。

• 规则本身的问题：这条Security Hub规则可能有版本更新，或者你自定义了规则的评估条件，导致误判。去Security Hub的规则详情页，核对规则的最新评估逻辑是否和你的配置匹配。

• 区域混淆：仔细确认告警指向的区域和你检查的区域完全一致，别把us-east-1和us-east-2这类相似区域搞混了。

内容的提问来源于stack exchange，提问作者jithu