グローバル展開する大手製造業企業が、AWS Organizationsで65のAWSアカウントを管理するハブアンドスポーク型ネットワークアーキテクチャを採用しています。「Network Services」アカウントに中央Transit Gatewayと共有サービスVPC（DNS・NTP・セキュリティツール等を提供）が存在し、オンプレミスデータセンターとはAWS Direct Connect（専用線接続）経由でTransit Gatewayに接続されています。アカウントは3つのOU（Production OU: 20アカウント、Development OU: 30アカウント、QA OU: 15アカウント）に分類されています。以下のネットワーク分離要件があります：（1）Productionアカウントは共有サービスVPCとオンプレミスにのみ通信可能で、他のProduction・Development・QAアカウントとの直接通信を禁止する、（2）DevelopmentとQAアカウントは相互に自由に通信可能だがProductionとの通信は禁止する、（3）すべてのアカウントがオンプレミスにアクセス可能、（4）週2〜3件の新規アカウント追加を自動的に正しい通信ポリシーに組み込む、（5）Direct Connect回線は一本化してコストを最小化する。最小コストかつ最小運用オーバーヘッドで要件を満たす設計として最も適切なものはどれですか？
Transit Gatewayの複数ルートテーブル機能（アソシエーション＋プロパゲーション）により、単一のTransit Gatewayで細粒度のルーティング分離が実現できます。RAMでOrganization全体に共有することで各アカウントが自VPCをアタッチでき、Direct Connectも一本化できます。 選択肢AのVPCピアリングはN*(N-1)/2本必要でスケールに難があります。 選択肢CのTransit Gatewayを2つ作成するアプローチはコストが増大します。 選択肢DのPrivateLinkはサービスごとの設定が必要で大規模展開には不向きで、各アカウントへのVIF追加はDirect Connectコストを大幅に増加させます。