如何确保AWS Config基线资源部署至Control Tower所有管控区域？

1. 确认管控区域的注册状态 #

• 登录Control Tower管理账户控制台，进入区域管理页面，核实us-east-1、us-east-2、us-west-2、ap-southeast-2已被正确添加为管控区域，且未被标记为"排除"状态。
• 检查Landing Zone的初始化/更新记录，确认这些区域在Landing Zone配置中被纳入了基线部署范围。

2. 重新触发基线部署 #

全量Landing Zone更新（推荐） #

• 进入Control Tower控制台的Landing Zone页面，点击Update Landing Zone，保持所有现有配置不变，直接启动更新流程。该操作会强制Control Tower在所有管控区域重新同步包括AWS Config在内的基线资源，无需修改任何参数即可触发全区域的基线修复。

单区域定向修复 #

• 使用AWS CLI在管理账户下执行以下命令，针对指定区域和账户触发Security基线（包含AWS Config）的部署：

  aws control-tower apply-baseline --baseline-identifier security-baseline --target-identifier arn:aws:organizations::123456789012:account/o-xxxxxxxxxx/123456789012 --region us-east-1
  

  替换命令中的账户ARN和目标区域为实际值，确保CLI已配置管理账户的权限。

3. 验证部署状态与排查日志 #

• 登录成员账户的对应区域AWS Config控制台，检查是否存在Control Tower创建的配置记录器、交付通道和规则集。
• 查看CloudFormation栈的事件日志，即使栈状态为UPDATE_COMPLETE，也可能存在资源创建被跳过的细节，比如依赖缺失或权限问题导致的静默失败。

4. 排查权限与策略限制 #

• 确认AWSControlTowerExecution角色在所有管控区域拥有config:*相关权限，该角色是Control Tower部署基线资源的核心执行角色。
• 检查组织根或OU级别的服务控制策略（SCP），确保没有限制AWS Config资源创建的规则（例如禁止config:Put*、config:Create*操作的策略）。

5. 区域资源与服务兼容性检查 #

• 确认目标区域支持Control Tower的Security基线所有组件（你列出的区域均为AWS主流区域，通常不存在兼容性问题）。
• 检查目标区域的资源配额，比如CloudFormation栈数量、IAM角色数量等，避免因配额不足导致部署失败。

内容的提问来源于stack exchange，提问作者Tegue Morrison