Uma organização usa várias contas AWS para aplicações internas hospedadas em VPC. Uma equipe de segurança mantém uma lista de permissões central de intervalos CIDR de IP internos e atualmente notifica os proprietários de outras contas quando a lista de permissões é alterada. Os desenvolvedores em cada conta adicionam intervalos CIDR aos seus security groups. O arquiteto de soluções deve distribuir os intervalos CIDR comuns por todas as contas com o menor overhead operacional. Qual abordagem atende a esse requisito?

A opção correta é criar uma lista de prefixos gerenciada pelo cliente na conta de segurança, preenchê-la com os CIDRs, compartilhá-la via AWS RAM e instruir os proprietários das contas a referenciar essa lista em seus security groups. Essa abordagem centraliza o gerenciamento dos CIDRs na equipe de segurança, reduzindo o overhead operacional, pois as atualizações na lista de prefixos são propagadas automaticamente para todos os security groups que a referenciam. As outras opções são menos eficientes: A opção de tópico SNS e Lambda exige o desenvolvimento e manutenção de código em cada conta para processar as atualizações, aumentando a complexidade operacional. A opção de criar listas de prefixos manualmente em cada conta não centraliza o gerenciamento, exigindo que a equipe de segurança notifique individualmente cada proprietário para atualizar suas listas. A opção de função Lambda assumindo um IAM role em cada conta também envolve o desenvolvimento de código complexo e a gestão de permissões entre contas, o que é mais propenso a erros e mais oneroso que o uso de listas de prefixos compartilhadas.