ある大企業はAWS Organizationsを使用してマルチアカウント環境を運用しています。セキュリティ部門から、インターネット向けのインバウンドトラフィックとアウトバウンドトラフィックのすべてを、一元化された単一のVPCにルーティングしてAWS Network Firewallでパケット検査を行うよう義務付けられました。各ビジネスユニットは独自のVPCを持っており、IPアドレスの重複はありません。アーキテクチャの複雑さを抑え、将来的なVPCの追加にもスケーラブルに対応できるネットワーク設計はどれですか。
マルチアカウント・マルチVPC環境におけるネットワークトラフィックの一元的なルーティングと検査には、AWS Transit Gatewayを使用したハブアンドスポークアーキテクチャがAWSのベストプラクティスです。中央の「セキュリティVPC（ハブ）」にAWS Network Firewallをデプロイし、各ビジネスユニットの「スポークVPC」をTransit Gatewayにアタッチします。Transit Gatewayのルーティングドメイン（ルートテーブル）を分離し、スポークVPCからのデフォルトルート（0.0.0.0/0）をセキュリティVPCのアタッチメントに向けることで、すべてのトラフィックを強制的にインスペクション（検査）できます。新しいVPCが追加された場合もTransit Gatewayにアタッチするだけで済むため、構成がシンプルで極めてスケーラブルです。 選択肢AはTransit Gatewayを使ったハブアンドスポーク構成であり、すべてのVPCトラフィックを中央セキュリティVPCに集約してNetwork Firewallで検査できます。新しいVPCの追加もアタッチするだけで対応でき、スケーラビリティと管理の容易さが高く最も推奨されます。 選択肢BのVPCピアリングフルメッシュ構成はVPC数の増加に伴いピアリング数がO(n²)で増大し、スケーラビリティに重大な問題があります。またVPCピアリングはトランジットルーティング（中継）をサポートしないため、すべてのトラフィックを中央の検査VPCに強制的に経由させることができません。 選択肢CはAWS Firewall Managerで各VPCに個別のNetwork Firewallエンドポイントを配置する方法ですが、VPCごとにFirewallエンドポイントのコストが発生し、トラフィックを中央VPCに一元的に集約して検査するという要件にも合致しません。 選択肢DのAWS Global Acceleratorはインターネットからのパフォーマンス最適化を目的としたサービスであり、VPC間の内部トラフィックルーティングには使用できません。VPCエンドポイントサービスと組み合わせてもVPC間の一元検査アーキテクチャとしては成立しません。