Ein Unternehmen betreibt Produktionsanwendungen in mehreren AWS-Konten in us-east-1. Jede Anwendung läuft auf EC2-Instances in privaten Subnetzen hinter einem ALB. Der ALB erlaubt eingehenden Port-80-Datenverkehr nur von IP-Bereichen des Partnernetzwerks. Wenn ein neuer Partner hinzugefügt wird, muss der Partner-CIDR in jedem Konto zur ALB-Sicherheitsgruppe hinzugefügt werden. Der Netzwerktechniker benötigt eine zentralisierte, betrieblich effiziente Methode zur Verwaltung von Partner-CIDR-Bereichen über Konten hinweg. Welche Lösung ist die beste?

Die korrekte Antwort ist, eine Präfixliste zu erstellen, die alle zulässigen Partner-IP-Bereiche enthält, diese über AWS Resource Access Manager (RAM) mit anderen Konten zu teilen und die ALB-Sicherheitsgruppen so zu aktualisieren, dass sie auf diese Präfixliste verweisen. Dies ist die effizienteste Lösung, da Änderungen an der Präfixliste automatisch in allen verknüpften Sicherheitsgruppen wirksam werden, ohne dass manuelle Aktualisierungen in jedem Konto oder komplexe Automatisierungsskripte erforderlich sind. Präfixlisten sind speziell für die zentrale Verwaltung von IP-Adressbereichen konzipiert. Die anderen Optionen sind weniger effizient: DynamoDB mit Lambda oder S3 mit Lambda erfordert die Bereitstellung und Wartung von Automatisierungslogik in jedem Konto, was den Verwaltungsaufwand erhöht und nicht die native Funktionalität von AWS zur zentralen IP-Verwaltung nutzt. Eine Präfixliste ohne RAM-Freigabe und ohne direkte Referenzierung in Sicherheitsgruppen würde bedeuten, dass die Präfixliste in jedem Konto manuell verwaltet oder über Lambda synchronisiert werden müsste, was den Vorteil der zentralen Verwaltung zunichtemacht.