Организация использует несколько аккаунтов AWS для внутренних приложений, размещенных в VPC. Команда безопасности ведет центральный список разрешенных внутренних диапазонов IP CIDR и в настоящее время уведомляет владельцев других аккаунтов при изменении этого списка. Разработчики в каждом аккаунте добавляют диапазоны CIDR в свои группы безопасности. Архитектор решений должен распространить общие диапазоны CIDR по всем аккаунтам с наименьшими операционными издержками. Какой подход соответствует этому требованию?

Правильный ответ — создание управляемого клиентом списка префиксов в аккаунте безопасности, его заполнение, совместное использование через AWS RAM и уведомление владельцев аккаунтов. Это решение минимизирует операционные издержки, поскольку команда безопасности управляет одним централизованным списком, который автоматически становится доступным во всех аккаунтах. Владельцам аккаунтов достаточно один раз настроить свои группы безопасности для ссылки на этот общий список префиксов. Другие варианты менее эффективны: Использование Amazon SNS и Lambda в каждом аккаунте требует разработки и поддержки кода Lambda в каждом аккаунте, что увеличивает операционные издержки. Ручное создание списков префиксов в каждом аккаунте или использование ролей IAM с Lambda для обновления групп безопасности в каждом аккаунте также значительно увеличивает ручную работу и сложность управления.