某公司在全球各地設有辦事處，並在 AWS Organizations 中擁有多個 AWS 帳戶。該公司必須更新安全群組規則，以在整個組織中新增辦公室的 CIDR 範圍或移除舊的 CIDR 範圍，同時將管理負擔降至最低。哪種解決方案對於這些 CIDR 範圍的集中管理而言，最具成本效益？

正確答案是建立包含 CIDR 範圍的 VPC customer managed prefix list，並透過 AWS Resource Access Manager (AWS RAM) 在整個組織中共用，然後在安全群組中引用。這種方法允許集中管理辦公室的 CIDR 範圍。當 CIDR 範圍變更時，只需更新一次 prefix list，所有引用該 prefix list 的安全群組都會自動更新，大幅降低管理負擔和成本。 選項一在管理帳戶中建立安全群組，但無法直接在其他帳戶中引用，且更新仍需手動處理，不具備集中管理和自動更新的優勢。選項三的 AWS managed prefix list 不適用於自定義 CIDR 範圍，且 Security Hub 政策用於合規檢查而非直接更新安全群組。選項四的 AWS Firewall Manager 雖然可以集中管理安全群組，但其主要功能是部署和監控防火牆規則，對於單純的 CIDR 範圍集中管理而言，成本效益不如 prefix list 方案。