Bir şirket, en üst düzey 10.0.0.0/8 havuzu ve hesap başına IPAM havuzları ile VPC IP Adres Yöneticisi (IPAM) kullanır ve havuzları AWS RAM aracılığıyla paylaşır. Ağ mühendisi, her AWS hesabındaki kullanıcıların, CIDR'leri o hesabın IPAM havuzundan tahsis edilmedikçe yeni VPC'ler oluşturmasını ve mevcut VPC'lere CIDR'leri, hesabın IPAM havuzundan gelmedikçe ilişkilendirmesini engellemelidir. Hangi çözüm bu gereksinimleri karşılar?

Doğru cevap, AWS Organizations'ta yeni bir Hizmet Kontrol Politikası (SCP) oluşturmaktır. Bu SCP, CreateVpc ve AssociateVpcCidrBlock Amazon EC2 eylemlerini, Ipv4IpamPoolId bağlam anahtarı belirli bir IPAM havuz kimliğine eşit olmadıkça reddeder. Bu yaklaşım, VPC oluşturma ve CIDR ilişkilendirme işlemlerini doğrudan IPAM havuzlarının kullanımına zorlayarak, istenmeyen VPC'lerin veya CIDR'lerin tahsis edilmesini önler. Yanlış seçenekler: AWS Config kuralı oluşturmak ve Lambda işlevi çağırmak, istenmeyen VPC'leri silmek için reaktif bir çözümdür. Bu, VPC'lerin önce oluşturulmasına izin verir ve ardından silinmesini gerektirir, bu da proaktif bir kontrol değildir. Yalnızca bir Lambda işlevi oluşturmak ve çalıştırmak da reaktif bir yaklaşımdır ve SCP'nin sağladığı önleyici kontrolü sunmaz. CloudTrail olaylarını izlemek ve Lambda işlevi çağırmak da reaktif bir çözümdür ve SCP'nin sağladığı önleyici kontrolü sağlamaz.