ある企業はAWS CloudWANを使用して、複数のグローバルリージョンにまたがるネットワークを構築しています。 開発環境のVPCと本番環境のVPCがそれぞれのリージョンに存在しており、以下のコンプライアンス要件があります。 ・本番環境のVPCと開発環境のVPC間の通信は完全に分離すること ・同じ環境のVPC間のみ通信を許可すること この分離要件を満たすために構成すべきAWS CloudWANの機能はどれですか。
AWS Cloud WANは、グローバルなネットワークを宣言型ポリシー（コアネットワークポリシー）で一元管理できるサービスです。Cloud WANのアーキテクチャでは、ネットワークを論理的に分離するために「セグメント（Segment）」という概念を使用します。セグメントは分離された専用のルーティングドメインとして機能します。本番環境用のセグメントと開発環境用のセグメントを作成し、それぞれのVPCアタッチメントを該当するセグメントにマッピング（アタッチメントポリシーで自動化可能）することで、セグメント間の通信はデフォルトで完全に分離されます。特別な共有アクションを設定しない限り、異なるセグメント間でルーティング情報が交換されることはなく、要件である完全なトラフィック分離を容易に実現できます。 選択肢Bは、コアネットワークエッジ（CNE）はCloud WANのリージョン接続ポイントであり、VPCピアリングとセキュリティグループのIPフィルタリングを組み合わせる方法はCloud WANの設計概念と合致しません。環境追加のたびにIPアドレスのルールを更新する必要があり管理コストが高くなります。 選択肢Cは、Transit GatewayルートテーブルのCloud WANへのインポート自体は存在しますが、ブラックホールルートで環境分離を制御する方法はSegmentを使った宣言型の分離より複雑であり、グローバルスケールでの管理には適していません。 選択肢Dは、Cloud WANに独立した「ルーティングドメイン機能」は存在せず、BGPコミュニティタグによるプレフィックス伝播の相互拒否はCloud WANの正式な分離手法ではありません。環境間の分離にはSegmentが正しいアプローチです。