100以上のVPCを持つ企業が、全VPCに対してDNSベースの脅威インテリジェンスフィルタリングとネットワーク侵入検知（IDS）ルールの一元管理を実現したい。将来追加される新規VPCへの自動ポリシー適用も必須要件である。最も適切な構成の組み合わせを2つ選択してください。
Network FirewallをTGW経由のセントラルVPCに集中配置するハブ＆スポーク構成はAWS推奨の集中検査アーキテクチャで、全スポークVPCのトラフィックをステートフルIDS/IPSルールとDNS脅威インテリジェンスフィルタリングで一元検査できます。Firewall ManagerはOrganizations全体にネットワークファイアウォールポリシーを自動適用し新規VPCも自動対象化できます。 各VPCへの個別デプロイ（B）は100以上のVPCでの管理を分散化させ一元管理要件を満たさず運用負荷も増大します。 VPCフローログ+Security Lake+Athena（D）はリアルタイムのフィルタリング・遮断ではなく事後分析用であり、脅威インテリジェンスフィルタリングやIDSルールの適用には使用できません。 Route 53 Resolver DNSファイアウォール（E）はDNSクエリフィルタリング専用でネットワーク層のIPSのステートフル検査機能を持たないため、IDS要件を単独では満たせません。