Bir kuruluşun AWS Organizations altında düzenlenmiş birçok AWS hesabı vardır. Bir geçiş hesabı (transit account), paylaşılan bir Transit Gateway'e ve şirketin global ofislerinden Site-to-Site VPN bağlantılarına ev sahipliği yapmaktadır. Ağ ekibinin, dahili IP aralıklarının (global ofislerin ağları) bir listesini merkezi olarak yönetmesi gerekmektedir, böylece diğer hesaplardaki geliştiriciler erişim izni verirken bu listeye başvurabilirler. Hangi çözüm, en az operasyonel yük ile bu merkezi listeyi sağlar?

Doğru seçenek, VPC prefix listelerini kullanmaktır. Transit hesabında dahili IP aralıklarını içeren bir VPC prefix listesi oluşturup AWS Resource Access Manager (RAM) ile diğer hesaplarla paylaşarak, geliştiriciler güvenlik grubu kurallarında bu paylaşılan prefix listesine referans verebilirler. Bu, IP aralıkları değiştiğinde sadece merkezi prefix listesinin güncellenmesini gerektirir, bu da operasyonel yükü en aza indirir. Diğer seçenekler daha fazla operasyonel yük getirir: Amazon S3 ve Lambda çözümü, her hesapta Lambda ve SNS yapılandırması gerektirir ve güvenlik grubu kurallarının programatik olarak yönetilmesini zorlaştırır. AWS Config yönetilen kuralı, uyumluluk denetimi için uygundur ancak güvenlik grubu kurallarını doğrudan yönetmek için tasarlanmamıştır ve düzeltme karmaşık olabilir. Güvenlik grubunu iç içe referans verme seçeneği, farklı hesaplardaki güvenlik grupları arasında doğrudan referans verilmesine izin vermediği için geçerli değildir.