Une organisation utilise plusieurs comptes AWS pour des applications internes hébergées sur VPC. Une équipe de sécurité maintient une liste d'autorisation centrale des plages CIDR d'adresses IP internes et informe actuellement les propriétaires des autres comptes lorsque la liste d'autorisation change. Les développeurs de chaque compte ajoutent des plages CIDR dans leurs groupes de sécurité. L'architecte de solutions doit distribuer les plages CIDR communes à tous les comptes avec le moins de frais opérationnels possible. Quelle approche répond à cette exigence ?

L'option correcte est de créer une liste de préfixes gérée par le client dans le compte de sécurité, de la remplir avec les plages CIDR, puis de la partager via AWS Resource Access Manager (RAM). Cette approche centralise la gestion des plages CIDR, réduisant les frais opérationnels car les mises à jour n'ont lieu qu'à un seul endroit. Les propriétaires de compte référencent simplement l'ID de la liste de préfixes partagée dans leurs groupes de sécurité. Les autres options sont moins efficaces : L'utilisation de SNS et Lambda dans chaque compte nécessite un déploiement et une maintenance dans chaque compte, augmentant la complexité. La création manuelle de listes de préfixes dans chaque compte ne résout pas le problème de la gestion décentralisée et des mises à jour manuelles. Un rôle IAM et une fonction Lambda dans le compte de sécurité pour mettre à jour les groupes de sécurité dans chaque compte est une solution centralisée, mais la gestion des groupes de sécurité directement par une fonction externe peut être moins granulaire et plus complexe que l'utilisation de listes de préfixes.