Организация имеет множество аккаунтов AWS, объединенных в AWS Organizations. Транзитный аккаунт размещает общий Transit Gateway и подключения Site-to-Site VPN из глобальных офисов компании. Команда сетевых инженеров должна централизованно управлять списком внутренних IP-диапазонов (сетей глобальных офисов), чтобы разработчики в других аккаунтах могли ссылаться на этот список при предоставлении доступа. Какое решение обеспечивает этот централизованный список с наименьшими операционными издержками?

Правильный ответ — создание списка префиксов VPC в транзитном аккаунте, его совместное использование через AWS Resource Access Manager (RAM) и использование в правилах групп безопасности. Это решение обеспечивает централизованное управление IP-диапазонами с минимальными операционными издержками. При изменении списка префиксов все группы безопасности, ссылающиеся на него, автоматически обновляются. Неправильные варианты: Хранение JSON-файла в S3 с последующим обновлением через SNS и Lambda требует значительных операционных издержек на разработку и поддержку функций Lambda и тем SNS в каждом аккаунте. Создание управляемого правила AWS Config для оценки и исправления групп безопасности не обеспечивает централизованного списка для ссылок в группах безопасности; оно предназначено для аудита и обеспечения соответствия, а не для динамического использования IP-диапазонов. Ссылка на группу безопасности из другого аккаунта (вложенная ссылка) возможна только для групп безопасности, находящихся в одном VPC или пиринговых VPC, и не масштабируется эффективно для множества аккаунтов и Transit Gateway.