Firma używa VPC IP Address Manager (IPAM) z pulą najwyższego poziomu 10.0.0.0/8 i pulami IPAM dla poszczególnych kont, a także udostępnia pule za pośrednictwem AWS RAM. Inżynier sieci musi uniemożliwić użytkownikom na każdym koncie AWS tworzenie nowych VPC, chyba że CIDR jest przydzielony z puli IPAM tego konta, a także uniemożliwić przypisywanie CIDR do istniejących VPC, chyba że pochodzą z puli IPAM tego konta. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź to utworzenie nowego SCP (Service Control Policy) w AWS Organizations. SCP pozwala na centralne zarządzanie uprawnieniami w całej organizacji AWS. Odmowa akcji ec2:CreateVpc i ec2:AssociateVpcCidrBlock z warunkiem, że klucz kontekstowy ec2:Ipv4IpamPoolId nie jest równy identyfikatorowi puli IPAM konta, skutecznie wymusza użycie pul IPAM. Użytkownicy nie będą mogli tworzyć nowych VPC ani przypisywać CIDR do istniejących VPC, chyba że CIDR pochodzi z przypisanej puli IPAM. Pozostałe opcje są nieprawidłowe, ponieważ: Reguła AWS Config lub funkcja Lambda usuwająca VPC po ich utworzeniu jest reaktywna i nie zapobiega tworzeniu nieautoryzowanych zasobów. Reguła EventBridge wywołująca funkcję Lambda również działa reaktywnie, a nie proaktywnie.