У компании есть несколько аккаунтов AWS в AWS Organizations, расположенных в офисах по всему миру. Компании необходимо обновить правила групп безопасности, чтобы добавить новые диапазоны CIDR офисов или удалить старые диапазоны CIDR по всей организации, минимизируя при этом административные издержки. Какое решение является НАИБОЛЕЕ экономически эффективным для централизованного управления этими диапазонами CIDR?

Создание управляемого клиентом префиксного списка VPC и его совместное использование через AWS RAM — наиболее экономически эффективное решение. Префиксные списки позволяют централизованно управлять наборами диапазонов CIDR. При изменении диапазонов CIDR достаточно обновить префиксный список в одном месте, и все группы безопасности, ссылающиеся на него, автоматически обновятся. AWS RAM позволяет легко делиться этим префиксным списком между аккаунтами в AWS Organizations, минимизируя административные издержки. Создание групп безопасности в управляющем аккаунте и их обновление вручную не масштабируется и не обеспечивает централизованного управления для всех аккаунтов. Использование AWS Security Hub и Lambda для обновления AWS-управляемого префиксного списка избыточно, так как AWS-управляемые списки предназначены для сервисов AWS, а не для пользовательских CIDR. AWS Firewall Manager с группами безопасности в административном аккаунте является более сложным и дорогим решением, чем префиксные списки, и не всегда обеспечивает такую же гибкость для динамических изменений CIDR.