Een organisatie gebruikt meerdere AWS-accounts voor intern gehoste applicaties in VPC's. Een beveiligingsteam onderhoudt een centrale allow list van interne IP CIDR-bereiken en informeert momenteel andere accounteigenaren wanneer de allow list wijzigt. Ontwikkelaars in elk account voegen CIDR-bereiken toe aan hun security groups. De solutions architect moet de gemeenschappelijke CIDR-bereiken distribueren over alle accounts met de minste operationele overhead. Welke aanpak voldoet aan deze vereiste?

De juiste aanpak is het aanmaken van een door de klant beheerde prefix list in het beveiligingsaccount, deze te vullen met de interne CIDR-bereiken, en vervolgens te delen via AWS Resource Access Manager (RAM) met de organisatie. Accounteigenaren kunnen dan deze gedeelde prefix list ID refereren in hun security groups. Dit vermindert de operationele overhead aanzienlijk, omdat updates centraal in één prefix list worden beheerd en automatisch worden doorgevoerd in alle security groups die ernaar verwijzen. De optie met SNS en Lambda vereist complexere implementatie en onderhoud van Lambda-functies in elk account. Handmatig prefix lists aanmaken in elk account is inefficiënt en foutgevoelig. Een Lambda in het beveiligingsaccount die IAM-rollen aanneemt, is ook complexer dan het delen van een prefix list en vereist meer permissiebeheer.