AWS组织新增账号是否支持自动启用AWS Config？

你没有遗漏配置入口，AWS Config 目前确实没有提供和 Security Hub 完全一致的开箱即用的组织级新账号自动启用、自动配置录制的原生功能。

当前 AWS Config 的原生组织集成仅支持批量启用已有成员账号的 Config 服务，不会自动触发新增账号的配置流程，你可以通过以下两种方案实现同类自动化效果：

• 方案一：如果你已经在使用 AWS Control Tower 管理组织账号，可以直接配置强制级别的 Config 启用护栏，所有新加入组织的账号在预置过程中会自动完成配置录制器创建、日志交付通道配置、录制功能启动的全流程，无需人工介入。
• 方案二：自行搭建轻量化自动化链路实现需求：
  1. 在组织管理账号中配置 EventBridge 规则，监听 CreateAccountResult、InviteAccountToOrganization 两类组织账号新增事件
  2. 规则触发目标设置为 Lambda 函数，函数内按你的组织统一配置调用以下 API 完成新账号的 Config 配置：
     • PutConfigurationRecorder：创建配置录制器，指定需要录制的资源类型
     • PutDeliveryChannel：配置日志交付通道，统一投递到组织级的 S3 存储桶
     • StartConfigurationRecorder：启动录制功能
  3. 为 Lambda 配置组织级的跨账号运维 IAM 角色，获取所有成员账号的 Config 配置权限即可。

如果需要统一管理所有账号的配置合规数据，可以额外配置组织级 Config 聚合器，自动纳入所有已经启用 Config 的成员账号数据，在管理账号统一查看。

内容的提问来源于stack exchange，提问作者Ido Van Orell