Eine Organisation verwendet mehrere AWS-Konten für intern gehostete Anwendungen, die in VPCs laufen. Ein Sicherheitsteam pflegt eine zentrale Positivliste interner IP-CIDR-Bereiche und benachrichtigt derzeit andere Kontoinhaber, wenn sich die Positivliste ändert. Entwickler in jedem Konto fügen CIDR-Bereiche zu ihren Sicherheitsgruppen hinzu. Der Lösungsarchitekt muss die gemeinsamen CIDR-Bereiche mit dem geringsten Betriebsaufwand auf alle Konten verteilen. Welcher Ansatz erfüllt diese Anforderung?

Die Erstellung einer kundenverwalteten Präfixliste im Sicherheitskonto, das Befüllen mit internen CIDR-Bereichen und das Teilen über AWS Resource Access Manager (RAM) ist die effizienteste Lösung. Dies ermöglicht es dem Sicherheitsteam, die Positivliste zentral zu verwalten, während andere Konten die freigegebene Präfixlisten-ID in ihren Sicherheitsgruppen referenzieren können. Änderungen an der Präfixliste werden automatisch in allen referenzierenden Sicherheitsgruppen wirksam, was den Betriebsaufwand minimiert. Die SNS- und Lambda-Lösung erfordert die Bereitstellung und Wartung von Lambda-Funktionen in jedem Konto sowie eine komplexe Logik zur Aktualisierung von Sicherheitsgruppen. Die manuelle Erstellung von Präfixlisten in jedem Konto ist nicht skalierbar und erfordert weiterhin manuelle Benachrichtigungen. Die IAM-Rolle und Lambda-Lösung im Sicherheitskonto erfordert umfassende Berechtigungen in jedem Konto und ist komplexer in der Implementierung und Wartung als die Präfixlisten-Lösung.