ある大企業のネットワーク運用チームは、AWS Organizationsで管理される複数のアカウントにまたがる30のVPCを運用しています。各VPCのセキュリティグループには社内ネットワークのIPレンジ（200以上のCIDRブロック）が許可ルールとして設定されており、一部のVPCルートテーブルにもこれらのIPレンジが静的ルートとして登録されています。これらのIPレンジは四半期ごとに変更される可能性があり、変更時には全アカウント・全VPCへの一貫した適用が求められます。現在は手動更新しており、更新漏れや設定不整合が問題になっています。最もスケーラブルで運用負荷の低いアプローチはどれですか？
VPCのカスタマー管理プレフィックスリスト（Customer-managed Prefix List）は、複数のCIDRブロックをまとめて管理できる機能です。セキュリティグループルールやルートテーブルのエントリからプレフィックスリストを直接参照できるため、リスト自体を更新するだけで参照しているすべてのリソースに変更が自動的かつ即座に反映されます。AWS Resource Access Manager（RAM）を使用することで、Organizationsの組織単位（OU）や個別アカウントにプレフィックスリストを共有でき、全アカウントから同一リストを参照可能です。1つのプレフィックスリストは最大1,000エントリをサポートします。IPレンジ変更時はプレフィックスリストを1箇所更新するだけで済み、セキュリティグループとルートテーブルの両方に対応できる唯一のアプローチです。 選択肢AのAWS Systems Manager Parameter Store + Lambdaの組み合わせは機能的には実現可能ですが、Lambda関数のコードのメンテナンス、実行タイミングのラグ（非同期更新）、クロスアカウントの権限管理など運用負荷が高くなります。また、Lambda経由のAPIコールではプレフィックスリストのような宣言的な参照更新は実現できず、更新処理の失敗リスクも伴います。 選択肢CのAWS Firewall Managerは、セキュリティグループポリシーを通じてCIDRルールを複数アカウントに展開できますが、ポリシー自体にCIDRを直接記述するためIPレンジ変更時はFirewall Managerポリシーの更新が別途必要です。また、VPCルートテーブルのルートエントリ管理には対応していないため要件を完全には満たせません。 選択肢DのAWS Configのカスタムルールは設定の評価・通知・自動修復に使うものであり、200以上のCIDRブロックを一元管理してセキュリティグループとルートテーブルに適用するためのソリューションとしては設計されていません。