Een organisatie heeft veel AWS-accounts die zijn georganiseerd onder AWS Organizations. Een transit-account host een gedeelde Transit Gateway en Site-to-Site VPN-verbindingen vanuit de wereldwijde kantoren van het bedrijf. Het netwerkteam moet centraal een lijst met interne IP-bereiken (de netwerken van de wereldwijde kantoren) beheren, zodat ontwikkelaars in andere accounts die lijst kunnen raadplegen bij het verlenen van toegang. Welke oplossing biedt deze gecentraliseerde lijst met de minste operationele overhead?

De correcte optie is het maken van een VPC prefix list in het transit-account en deze te delen via AWS Resource Access Manager (RAM). Dit biedt de laagste operationele overhead omdat de prefix list centraal wordt beheerd en wijzigingen automatisch worden doorgevoerd in alle security groups die ernaar verwijzen. Ontwikkelaars kunnen de gedeelde prefix list direct gebruiken in hun security group-regels zonder handmatige updates of complexe automatisering. De andere opties zijn minder efficiënt: Het S3/SNS/Lambda-scenario vereist aanzienlijke ontwikkelings- en onderhoudsinspanningen voor de Lambda-functies en het bijhouden van wijzigingen. Een AWS Config managed rule is bedoeld voor compliance-evaluatie en herstel, niet voor het dynamisch beheren van IP-bereiken in security groups. Het verwijzen naar een security group in een ander account is niet mogelijk met een geneste security group-referentie over accountgrenzen heen.