大規模金融機関がAWSのマルチアカウントネットワークアーキテクチャを再設計しています。この企業には4つのビジネスユニット（BU）にまたがる70のAWSアカウントがあり、現在はVPCピアリングによる接続が限界に達しています。 【要件】 ・すべてのBU間（East-West）トラフィックおよびインターネット宛（North-South）トラフィックは、ステートフルパケットインスペクション機能を持つ集中型検査ポイントを通過させること ・異なるBU間での直接ルーティングは禁止（BU間通信はすべて検査VPCを経由させること） ・共有サービスVPC（Active Directory、DNS、監視基盤）は全BUアカウントから到達可能にすること ・オンプレミスとの接続：2か所の異なるロケーションのAWS Direct Connectをアクティブ/アクティブ構成で使用し、いずれかのロケーション障害時も通信継続すること。現在は各アカウントに個別のプライベートVIFを設定しており、コストが高騰している ・VPC Flow Logsはコンプライアンス要件により7年間保持、かつストレージコストを最小化すること この金融機関のネットワークアーキテクチャとして最も適切なものはどれですか？
TGW複数ルートテーブルによるBU間分離とInspection VPC集中配置が正解パターンです。Network FirewallはTGWアプライアンスモード有効化が必須（非対称ルーティング防止）。DX GatewayとTransit VIFで複数DXロケーションを一元集約しアカウント単位VIFを廃止してコスト削減。S3 Glacier Deep Archiveは7年保持で最安価です。 選択肢BのAWS Transit Gatewayにデフォルトルートテーブルを1つのみ作成し、すべてのVPCとDirect Connect GatewayをこのTransit Gatewayにアタッチしてルート伝播を有効化する方法はデフォルトルートテーブルはすべてのVPCが同一ルートテーブルに関連付けられるためBU間分離が不可能です。 選択肢CのAWS Firewall Managerを使用して全アカウントに共通のNetwork Firewallポリシーを配布する方法は現在のVPCピアリングは70アカウントでO(n²)スケール問題が発生します。 選択肢DのAWS Transit Gatewayを展開し、AWS Resource Access Manager（RAM）を使用してTransit Gatewayを全BUアカウントと共有する方法はWAFはHTTP L7専用であり、IPパケットレベルのステートフルインスペクションには使用できません。