AWS Config相关技术咨询：Control Tower聚合器、合规等疑问

问题1：Control Tower启动后，管理账户与归档账户的AWS Config聚合器区别、成本及主聚合器判定 #

• 核心差异：管理账户的聚合器是主聚合器，是Control Tower护栏合规评估的核心组件，负责实时同步成员账户的配置数据，触发护栏的合规检查，直接支撑Control Tower的治理流程；归档账户的聚合器仅用于长期合规数据归档，专门存储历史配置数据和合规记录，满足审计类的长期留存要求，不参与实时的护栏评估逻辑。
• 成本问题：二者功能定位不同，不会产生不必要的重复成本。管理账户聚合器的计费主要来自实时配置数据的同步、规则评估次数；归档账户聚合器的计费主要来自历史数据的存储，属于合规留存的必要成本，不存在冗余。

问题2：Control Tower与AWS Config聚合器的不合规项差异 #

二者的不合规项范围和展示逻辑有明显区别：

• Control Tower展示的不合规项仅对应其自带护栏的评估结果，界面会过滤掉所有非Control Tower护栏关联的Config规则结果，只聚焦于治理框架内的合规状态；
• AWS Config聚合器展示的是聚合范围内所有生效Config规则的不合规项，包括Control Tower护栏对应的规则，以及你手动添加的自定义规则、第三方合规包规则等；
• 另外，预防性护栏的底层虽然依托AWS Config规则，但Control Tower会对部分护栏的评估逻辑做封装，比如结合组织账户结构做上下文校验，所以部分护栏的合规状态展示会比纯Config规则多一层治理维度的解读。

问题3：CIS/NIST合规包的操作位置，及Control Tower与AWS Config聚合器应用框架的区别 #

• 操作位置：建议在管理账户的AWS Config聚合器下操作合规包的部署，因为管理账户是Control Tower的核心控制节点，可通过组织级配置将合规包规则同步部署到所有成员账户，实现统一管理。
• 二者区别：
  • Control Tower中的框架选项是预封装对齐的合规框架，已经和Control Tower的护栏体系做了关联，部署后会自动匹配对应的护栏规则，并且在Control Tower控制台统一展示全组织的合规状态，还能结合护栏的自动修复、治理流程联动；
  • 在AWS Config聚合器中手动应用合规包，是直接部署标准的AWS Config规则集合，不会和Control Tower的护栏体系绑定，需要你手动管理规则的部署范围、修复逻辑，且这些规则的合规状态不会在Control Tower界面展示，只能在AWS Config控制台查看。

内容的提问来源于stack exchange，提问作者nischeruku