Organizacja posiada wiele kont AWS zorganizowanych w ramach AWS Organizations. Konto tranzytowe hostuje współdzielone połączenia Transit Gateway i Site-to-Site VPN z globalnych biur firmy. Zespół sieciowy musi centralnie zarządzać listą wewnętrznych zakresów IP (sieci globalnych biur), aby programiści na innych kontach mogli odwoływać się do tej listy podczas udzielania dostępu. Które rozwiązanie zapewnia tę scentralizowaną listę przy najmniejszym nakładzie operacyjnym?

Prawidłowa odpowiedź to utworzenie listy prefiksów VPC na koncie tranzytowym, udostępnienie jej innym kontom za pomocą AWS Resource Access Manager (RAM) i użycie jej w regułach grup bezpieczeństwa. To rozwiązanie jest najbardziej efektywne operacyjnie, ponieważ listy prefiksów są zaprojektowane do centralnego zarządzania zakresami IP i łatwo integrują się z grupami bezpieczeństwa. Pozostałe opcje są mniej optymalne: Przechowywanie JSON w S3 z SNS i Lambdą wymagałoby znacznego wysiłku rozwojowego i konserwacyjnego do parsowania, aktualizowania i synchronizowania reguł grup bezpieczeństwa na wielu kontach. AWS Config służy do oceny zgodności i automatycznej naprawy, a nie do centralnego zarządzania listami IP dla grup bezpieczeństwa. Odwoływanie się do grupy bezpieczeństwa z innego konta jest możliwe, ale wymagałoby utrzymywania tej grupy bezpieczeństwa jako centralnej listy, co jest mniej skalowalne i elastyczne niż lista prefiksów VPC, zwłaszcza przy częstych zmianach zakresów IP.