Un'organizzazione ha molti account AWS organizzati sotto AWS Organizations. Un account di transito ospita un Transit Gateway condiviso e connessioni VPN Site-to-Site dagli uffici globali dell'azienda. Il team di networking deve gestire centralmente un elenco di intervalli IP interni (le reti degli uffici globali) in modo che gli sviluppatori in altri account possano fare riferimento a tale elenco quando concedono l'accesso. Quale soluzione fornisce questo elenco centralizzato con il minor overhead operativo?

La soluzione corretta è creare un elenco di prefissi VPC nell'account di transito contenente tutti gli intervalli IP interni e condividerlo tramite AWS Resource Access Manager (RAM). Gli elenchi di prefissi VPC consentono di gestire centralmente un set di intervalli IP e di farvi riferimento nelle regole dei security group o delle tabelle di routing. La condivisione tramite RAM riduce il sovraccarico operativo poiché le modifiche all'elenco di prefissi si propagano automaticamente agli account condivisi. Le altre opzioni presentano delle carenze: L'archiviazione di un file JSON in S3 con SNS e Lambda è complessa e richiede una gestione significativa per la sincronizzazione e l'applicazione delle modifiche. Una regola gestita di AWS Config è per la conformità e la correzione, non per fornire un elenco di riferimento dinamico per i security group. Il riferimento a un security group nidificato tra account non è supportato direttamente in AWS per i security group tra account diversi, rendendo questa opzione non fattibile.