关于从AWS集中式账户修复Config规则及跨账户配置的技术问询

1. 是否可以从AWS集中式账户修复AWS Config规则？ #

当然可以，但得先做好几项关键配置：

• 首先，集中式账户的IAM角色需要获得目标成员账户的信任，允许它扮演成员账户里的修复执行角色。
• 其次，成员账户要配置好对应的修复权限：比如修复EC2实例的话，成员账户的角色得有ec2:ModifyInstanceAttribute这类权限；如果用SSM自动化文档来修复，还要确保成员账户里有对应的文档（AWS托管的或者自定义的都行）。
• 最后，在集中账户触发修复时，得指定目标成员账户的ID，保证修复请求能精准路由到对应账户的资源上。

2. 若配置AWS Config多账户架构并将所有数据聚合至集中式账户，能否在该集中式账户中配置规则、创建修复动作？AWS Config的跨账户修复功能是否可行？ #

这两项需求都是完全可行的，我给你拆解开说：

• 在集中账户配置规则：
  • 你可以创建聚合Config规则，这类规则会自动评估所有成员账户的聚合资源数据，不用在每个成员账户单独部署规则，省心很多。
  • 如果是基于AWS Organizations的架构，还能通过组织管理员账户把Config规则批量推送到所有成员账户，集中管理规则的版本和配置。
• 在集中账户创建并执行跨账户修复动作：
  • 官方是支持这个功能的，但同样得把权限链配置到位：集中账户的修复执行角色要有跨账户扮演成员账户角色的权限，成员账户的角色还要授予修复所需的具体资源操作权限。
  • 另外要注意，有些AWS托管的修复动作需要成员账户提前启用对应的服务（比如SSM）；如果是自定义修复动作，得确保自动化文档在成员账户是可用的——可以通过组织共享或者批量部署的方式搞定。
• 总的来说，AWS Config的跨账户修复是成熟的官方功能，只要权限和环境配置到位，就能在集中账户统一管理规则和修复动作，大大提升多账户架构的运维效率。

内容的提问来源于stack exchange，提问作者Dixon Joseph Dalmeida