Eine Organisation nutzt AWS Organizations mit acht Mitgliedskonten und erwartet maximal 20 Konten. Das Unternehmen betreibt alle Workloads auf AWS und hat eine neue Sicherheitsrichtlinie, die Folgendes vorschreibt: • Kein Konto führt Workloads in einer VPC innerhalb dieses Kontos aus. • Alle Workloads müssen in Subnetzen einer zentral verwalteten VPC gestartet werden, die für alle Konten zugänglich ist. • Kein Konto darf die Anwendungsressourcen eines anderen Kontos innerhalb der gemeinsam genutzten VPC ändern. • Die zentral verwaltete VPC muss sich in einem bestehenden Konto namens Account-A in der Organisation befinden. Eine CloudFormation-Vorlage in Account-A erstellt die VPC und mehrere Subnetze und exportiert die Subnetz-IDs als Stack-Outputs. Welche Lösung vervollständigt das Setup, um diese Anforderungen zu erfüllen?

Die korrekte Antwort ist die Verwendung von AWS Resource Access Manager (AWS RAM), um die VPC-Subnetze in Account-A mit den Mitgliedskonten zu teilen. AWS RAM ermöglicht es, Ressourcen wie Subnetze sicher und effizient kontoübergreifend zu teilen, was die Anforderung erfüllt, dass alle Workloads in Subnetzen einer zentral verwalteten VPC gestartet werden, die für alle Konten zugänglich ist. Die Mitgliedskonten können dann Workloads in diesen gemeinsam genutzten Subnetzen starten, ohne die Anwendungsressourcen anderer Konten zu ändern, da die Subnetze zwar geteilt, die Ressourcen jedoch isoliert bleiben. Die anderen Optionen sind ungeeignet: Das Starten von Workloads in jedem Mitgliedskonto mit CloudFormation und Fn::ImportValue würde bedeuten, dass jedes Konto seine eigene VPC hat, was der Richtlinie widerspricht. Ein Transit Gateway würde die Konnektivität zwischen den VPCs herstellen, aber nicht das direkte Starten von Workloads in den Subnetzen von Account-A aus den Mitgliedskonten ermöglichen. VPC-Peering würde ebenfalls Konnektivität bieten, aber nicht das Starten von Workloads in den Subnetzen von Account-A aus den Mitgliedskonten ermöglichen, da Peering keine gemeinsame Nutzung von Subnetzen für Workload-Starts bietet.