Una organización tiene muchas cuentas de AWS organizadas bajo AWS Organizations. Una cuenta de tránsito aloja un Transit Gateway compartido y conexiones VPN de sitio a sitio desde las oficinas globales de la empresa. El equipo de redes debe administrar centralmente una lista de rangos de IP internos (las redes de las oficinas globales) para que los desarrolladores de otras cuentas puedan consultar esa lista al otorgar acceso. ¿Qué solución proporciona esta lista centralizada con la menor sobrecarga operativa?

La opción correcta es crear una lista de prefijos de VPC en la cuenta de tránsito con todos los rangos de IP internos y compartirla con otras cuentas usando AWS Resource Access Manager (RAM). Esto permite a los desarrolladores hacer referencia a la lista de prefijos compartida directamente en las reglas de sus grupos de seguridad. Cuando los rangos de IP cambian, solo se actualiza la lista de prefijos centralizada, y esos cambios se propagan automáticamente a todos los grupos de seguridad que la utilizan, minimizando la sobrecarga operativa. Las otras opciones son menos eficientes: Almacenar un archivo JSON en S3 con SNS y Lambda implica una sobrecarga de desarrollo y mantenimiento considerable para cada cuenta. Una regla administrada de AWS Config está diseñada para auditar y remediar la conformidad, no para proporcionar una referencia dinámica de rangos de IP para grupos de seguridad. Referenciar un grupo de seguridad de otra cuenta con una referencia anidada no es una funcionalidad estándar de AWS para grupos de seguridad entre cuentas.