한 회사에서 us-east-1의 여러 AWS 계정에서 프로덕션 애플리케이션을 실행합니다. 각 애플리케이션은 ALB 뒤의 프라이빗 서브넷에 있는 EC2 인스턴스에 있습니다. ALB는 파트너 네트워크 IP 범위에서만 인바운드 포트 80 트래픽을 허용합니다. 새 파트너가 추가되면 파트너 CIDR을 각 계정의 ALB 보안 그룹에 추가해야 합니다. 네트워크 엔지니어는 여러 계정에서 파트너 CIDR 범위를 관리하기 위한 중앙 집중식의 운영 효율적인 방법을 필요로 합니다. 어떤 솔루션이 가장 좋을까요?

정답은 AWS 관리형 접두사 목록과 AWS Resource Access Manager(RAM)를 사용하는 것입니다. 접두사 목록은 여러 CIDR 블록을 단일 객체로 그룹화하여 관리할 수 있게 해주며, 보안 그룹 규칙에서 이 접두사 목록을 참조할 수 있습니다. AWS RAM을 사용하면 이 접두사 목록을 여러 AWS 계정과 공유할 수 있습니다. 새 파트너가 추가되면 중앙에서 접두사 목록만 업데이트하면 되며, 이 변경 사항은 해당 접두사 목록을 참조하는 모든 공유된 보안 그룹에 자동으로 적용됩니다. 이는 중앙 집중식으로 운영 효율적인 솔루션입니다. DynamoDB 또는 S3에 파트너 IP 범위를 저장하고 Lambda 함수로 보안 그룹을 업데이트하는 방식은 각 계정에 배포해야 하는 복잡한 사용자 지정 솔루션이며, 접두사 목록을 사용하는 것보다 관리 오버헤드가 큽니다. EventBridge 규칙과 Lambda 함수를 사용하는 방식도 접두사 목록을 사용하지만, AWS RAM을 통한 공유 메커니즘이 없어 각 계정에서 접두사 목록을 개별적으로 관리해야 하므로 중앙 집중식 관리가 어렵습니다.