Ein Unternehmen verwendet VPC IP Address Manager (IPAM) mit einem Top-Level-Pool 10.0.0.0/8 und IPAM-Pools pro Konto und teilt Pools über AWS RAM. Der Netzwerkingenieur muss verhindern, dass Benutzer in jedem AWS-Konto neue VPCs erstellen, es sei denn, der CIDR wird aus dem IPAM-Pool dieses Kontos zugewiesen, und auch verhindern, dass CIDRs bestehenden VPCs zugeordnet werden, es sei denn, sie stammen aus dem IPAM-Pool des Kontos. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist das Erstellen einer Service Control Policy (SCP) in AWS Organizations. Eine SCP ermöglicht es, Berechtigungen für alle Konten in einer Organisation zentral zu steuern. Durch das Verweigern der Aktionen ec2:CreateVpc und ec2:AssociateVpcCidrBlock, es sei denn, der Kontextschlüssel ec2:Ipv4IpamPoolId ist vorhanden und entspricht einer gültigen IPAM-Pool-ID, wird sichergestellt, dass neue VPCs und zugeordnete CIDR-Blöcke ausschließlich aus den zugewiesenen IPAM-Pools stammen. Andere Optionen sind weniger effektiv oder reaktiv: Eine AWS Config-Regel oder eine Lambda-Funktion, die VPCs löscht, ist eine reaktive Maßnahme, die erst nach der Erstellung unerwünschter Ressourcen eingreift. Dies entspricht nicht dem Ziel, die Erstellung von Anfang an zu verhindern. Eine EventBridge-Regel mit CloudTrail und Lambda ist ebenfalls reaktiv und würde unerwünschte VPCs erst nach deren Erstellung erkennen und löschen, anstatt die Erstellung proaktiv zu unterbinden.