한 회사에 전 세계 지사에 걸쳐 AWS Organizations의 여러 AWS 계정이 있습니다. 이 회사는 관리 오버헤드를 최소화하면서 조직 전체에서 새 사무실 CIDR 범위를 추가하거나 이전 CIDR 범위를 제거하도록 보안 그룹 규칙을 업데이트해야 합니다. 이러한 CIDR 범위를 중앙에서 관리하는 데 가장 비용 효율적인 솔루션은 무엇입니까?

정답은 고객 관리형 접두사 목록을 생성하고 AWS RAM을 사용하여 공유하는 것입니다. VPC 접두사 목록을 사용하면 CIDR 범위 집합을 단일 객체로 중앙에서 관리할 수 있습니다. AWS RAM을 통해 이 접두사 목록을 AWS Organizations 내의 여러 계정과 공유할 수 있습니다. 보안 그룹 규칙은 이 접두사 목록을 참조할 수 있으므로, CIDR 범위가 변경될 때 접두사 목록만 업데이트하면 모든 참조 보안 그룹에 변경 사항이 자동으로 적용되어 관리 오버헤드를 최소화하고 비용 효율적입니다. 다른 옵션들은 다음과 같은 이유로 최적의 솔루션이 아닙니다. 조직의 관리 계정에 VPC 보안 그룹을 생성하는 것은 중앙 집중식 관리가 어렵고, 각 계정의 보안 그룹을 수동으로 업데이트해야 할 수 있습니다. AWS 관리형 접두사 목록은 사용자가 직접 CIDR 범위를 정의할 수 없습니다. AWS Security Hub 정책은 보안 그룹 업데이트를 강제하는 데 적합하지 않습니다. 중앙 관리 AWS 계정에 보안 그룹을 생성하고 AWS Firewall Manager를 사용하는 것은 가능하지만, 접두사 목록을 사용하는 것보다 유연성이 떨어질 수 있으며, Firewall Manager는 추가 비용이 발생할 수 있습니다.