ある企業は複数のAWSアカウントにまたがる20のVPCを運用している。すべてのVPCのセキュリティグループには、オンプレミスデータセンターの15個のCIDRブロックからのトラフィックを許可するルールが設定されている。 ネットワーク拡張によりオンプレミスのCIDRブロックが追加・変更されるたびに、担当者が全VPCの全セキュリティグループを手動で更新しており、更新漏れや作業ミスが頻発している。 この運用課題を最も効率的に解決するアプローチはどれか？
AWSカスタマーマネージドプレフィックスリストは複数のCIDRブロックをグループ化して管理する機能です。RAMで複数アカウントに共有し、セキュリティグループのルールをプレフィックスリスト参照に変更することで、CIDRが変更された際はプレフィックスリストを1か所更新するだけで全セキュリティグループに自動反映されます。更新漏れや作業ミスを根本的に排除できます。 選択肢BのAWS Firewall Managerはポリシーの自動適用には有効ですが、CIDRが変更されるたびにポリシー自体を更新する必要があり、プレフィックスリストと比べて運用負荷が高いです。 選択肢CのTransit Gateway（BGP）は動的ルーティングに有効ですが、セキュリティグループのルール管理とは別問題であり、許可ルールの手動管理は引き続き必要になります。 選択肢DのAWS Config（Lambda自動修復）は構成が複雑でCIDR変更から更新完了まで遅延が生じ、プレフィックスリストの即時反映と比べて信頼性が劣ります。