ある多国籍企業は AWS Organizations で 20 個の AWS アカウントを管理しており、ap-northeast-1（東京）と us-east-1（バージニア北部）の 2 リージョンを使用しています。各ビジネスユニットは独自のアカウントと VPC を持っていますが、以下の問題が発生しています： インターネットへのエグレス（送信）トラフィックが各アカウントから分散してセキュリティ監視が困難 オンプレミスの AWS Direct Connect 接続が各アカウントで個別管理されて複雑化 新規 AWS アカウント追加時のネットワーク接続設定に平均 2 週間かかっている 要件： (1) すべてのインターネットエグレストラフィックを共有サービスアカウントの集中型ファイアウォール・NAT 経由にする (2) ビジネスユニット間の VPC 直接通信を禁止し、共有サービスアカウント経由のみ許可する (3) オンプレミスとの Direct Connect 接続を一元管理する (4) 新規アカウント追加時のネットワーク接続をほぼ自動化する この要件を満たす最もスケーラブルなアーキテクチャはどれですか？
各リージョンに Transit Gateway（TGW）を作成し、AWS Resource Access Manager（RAM）で Organizations 内の全アカウントに共有する。TGW ルートテーブルを 2 種類設計する：共有サービス用ルートテーブル（全ビジネスユニットのアタッチメントからのルートを受け入れる）とビジネスユニット用の分離ルートテーブル（デフォルトルートを共有サービス TGW アタッチメントのみに向ける）。Direct Connect Gateway を共有サービスアカウントの TGW にアタッチして一元管理する。Amazon EventBridge で Organizations の新規アカウント参加イベント（CreateAccountResult）を検知し Lambda を起動して VPC の TGW アタッチメントを自動作成する。 解説： RAM で共有した TGW により各アカウントが独自 TGW なしで一元的なネットワークに参加できます。分離ルートテーブル設計によりビジネスユニット間の直接通信を防ぎつつ共有サービス経由のトラフィックフローを実現します。Direct Connect Gateway を TGW にアタッチすることでオンプレミス接続を集中管理でき、EventBridge + Lambda により新規アカウントの自動ネットワークオンボーディングが可能になります。 選択肢メッシュ型 VPC ピアリングは、アカウント数増加に伴い n×(n-1)/2 の接続数が必要となりスケールしないため、大規模環境での拡張に対応できません。 選択肢AWS PrivateLink は単方向のサービス公開向けであり、双方向の汎用ルーティングには適していません。また Site-to-Site VPN の追加は管理の複雑性を増します。 選択肢すべての VPC を ap-northeast-1 に統合する案は、2 リージョン使用の要件と矛盾します。また Direct Connect Gateway 自体は RAM で他アカウントに共有できず、VPC ピアリングの使用もスケーラビリティ要件を満たしません。