Un'azienda esegue applicazioni di produzione in più account AWS in us-east-1. Ogni applicazione si trova su istanze EC2 in sottoreti private dietro un ALB. L'ALB consente il traffico in entrata sulla porta 80 solo da intervalli IP di reti partner. Quando viene aggiunto un nuovo partner, il CIDR del partner deve essere aggiunto al gruppo di sicurezza dell'ALB in ogni account. L'ingegnere di rete necessita di un modo centralizzato ed efficiente dal punto di vista operativo per gestire gli intervalli CIDR dei partner tra gli account. Qual è la soluzione migliore?

La soluzione migliore è creare un elenco di prefissi (prefix list) contenente tutti gli intervalli IP dei partner e condividerlo tra gli account utilizzando AWS Resource Access Manager (AWS RAM). Gli elenchi di prefissi sono progettati per gestire in modo centralizzato set di intervalli IP che possono essere referenziati da gruppi di sicurezza, tabelle di routing e altre risorse di rete. Quando un nuovo partner viene aggiunto, è sufficiente aggiornare l'elenco di prefissi centralizzato e le modifiche si propagheranno automaticamente a tutti i gruppi di sicurezza che lo referenziano in tutti gli account condivisi, riducendo l'overhead operativo. Le opzioni che utilizzano DynamoDB o S3 con Lambda richiedono la distribuzione e la gestione di una soluzione personalizzata in ogni account, aumentando la complessità e il carico operativo. L'opzione che usa EventBridge e Lambda con un elenco di prefissi ma senza condivisione tramite RAM richiede comunque la gestione separata dell'elenco di prefissi in ogni account o la replica manuale, perdendo il beneficio della gestione centralizzata.