Eine Organisation verfügt über viele AWS-Konten, die unter AWS Organizations organisiert sind. Ein Transit-Konto hostet ein gemeinsam genutztes Transit Gateway und Site-to-Site VPN-Verbindungen von den globalen Büros des Unternehmens. Das Netzwerkteam muss eine Liste interner IP-Bereiche (die Netzwerke der globalen Büros) zentral verwalten, damit Entwickler in anderen Konten diese Liste beim Gewähren von Zugriff referenzieren können. Welche Lösung bietet diese zentralisierte Liste mit dem geringsten Betriebsaufwand?

Die Erstellung einer VPC-Präfixliste im Transit-Konto und deren Freigabe über AWS Resource Access Manager (RAM) ist die effizienteste Lösung. Präfixlisten sind speziell dafür konzipiert, Sammlungen von IP-Adressbereichen zentral zu verwalten und in Sicherheitsgruppen und Routing-Tabellen zu referenzieren. Änderungen an der Präfixliste werden automatisch in allen referenzierenden Sicherheitsgruppen wirksam, was den Betriebsaufwand minimiert. Das Speichern einer JSON-Datei in S3 mit Lambda-Funktionen zur Aktualisierung von Sicherheitsgruppen ist komplex und wartungsintensiv, da jede Änderung eine Ausführung der Lambda-Funktion in jedem Konto erfordert. Eine AWS Config-Regel ist für die Bewertung und Behebung von Nichtkonformitäten gedacht, nicht für die zentrale Verwaltung dynamischer IP-Listen zur Referenzierung. Das Referenzieren einer Sicherheitsgruppe aus einem anderen Konto ist nicht direkt möglich; Sicherheitsgruppen können nur innerhalb desselben Kontos referenziert werden.