解説

AWS Resource Access Manager（RAM）を使うと、集約アカウントが所有するTransit Gatewayを他の業務アカウントに共有できます。共有を受けた業務アカウントは自分のアカウント内から直接VPCをTransit Gatewayにアタッチできます。一方、Transit Gateway本体（ルートテーブル、アタッチメントの承認）の管理は所有者である集約アカウントに残るため、アタッチメント承認を「必須」に設定すれば、集約アカウントが各アタッチメントを承認・制御できます。これにより分散したアタッチ操作と中央集約管理を両立できます。 選択肢Bのアカウント別Transit Gateway＋ピアリングはリソースとルート管理が分散し、運用負荷とコストが増大するうえ中央集約の要件に反します。 選択肢CのAssumeRoleによる操作はアタッチメント作成を可能にしますが、業務チームが集約アカウントの権限で操作するためリソースは集約アカウント所有のままとなり、業務アカウント側からの直接アタッチという要件を満たさず権限分離も不明確になります。 選択肢DのVPCピアリングはメッシュ型となり集約型のルーティング管理を実現できず、Transit Gatewayの中央集約の利点を失います。