Использование c7n-org и Cloud Custodian в аккаунтах AWS

Question

У меня есть облачный хранитель, работающий в Lambda с AWS Config, и я также установил c7n-org для управления несколькими учетными записями AWS в моей организации... мой вопрос: могу ли я использовать c7n-org из "главной" учетной записи, которая затем может выполнять и управлять другими моими учетными записями в моей организации?

Я предполагаю, что могу настроить лямбда-функцию в своей "главной" учетной записи, которая затем может выполнять команды в моей организации для других моих учетных записей?

Answer 1

Таким образом, c7n-org предназначен для запуска из основной учетной записи и роли, предполагаемой для многих учетных записей, для выполнения политик, определенных в файле конфигурации accounts.yml. см. документацию по этому поводу.

если вам нужны централизованные лямбда-политики, вы используете обычный клиент-хранитель для главной учетной записи, а затем настраиваете внешнюю ретрансляцию шины cwe. в ваших лямбда-политиках для основной учетной записи, вы устанавливаетеmember-role как шаблонный Arn для роли вернется в целевую учетную запись.