Компания использует VPC IP Address Manager (IPAM) с пулом верхнего уровня 10.0.0.0/8 и пулами IPAM для каждой учетной записи, а также обменивается пулами через AWS RAM. Сетевой инженер должен запретить пользователям в каждой учетной записи AWS создавать новые VPC, если CIDR не выделен из пула IPAM этой учетной записи, а также запретить связывать CIDR с существующими VPC, если они не из пула IPAM учетной записи. Какое решение удовлетворяет этим требованиям?

Правильный ответ — создание SCP в AWS Organizations. SCP (Service Control Policies) позволяют централизованно управлять разрешениями в вашей организации. Используя условие, которое проверяет контекстный ключ ec2:Ipv4IpamPoolId, вы можете гарантировать, что действия ec2:CreateVpc и ec2:AssociateVpcCidrBlock разрешены только в том случае, если CIDR выделяется из указанного пула IPAM. Это предотвращает создание или связывание VPC с CIDR, не соответствующими политике. Другие варианты не подходят, так как они являются реактивными решениями (удаление уже созданных VPC) или не обеспечивают превентивного контроля на уровне организации. AWS Config, Lambda и EventBridge могут обнаруживать нарушения после их возникновения, но не предотвращают их.