ある大手銀行が、オンプレミスデータセンターとAWS東京リージョン間でAWS Direct Connect（専用線）を使用して機密性の高い金融取引データを転送している。セキュリティ審査で「Direct Connect接続自体は暗号化されていないため、物理リンク上での盗聴リスクがある」との指摘を受けた。OSIモデルのレイヤー2（データリンク層）での暗号化を実装し、物理Direct Connect回線上のすべてのイーサネットトラフィックをホップバイホップで保護したい。AWSネイティブな解決策として最も適切なものはどれか。
AWS Direct ConnectのMACsec（Media Access Control Security）はIEEE 802.1AE規格に基づくレイヤー2（データリンク層）暗号化を提供する。物理的なDirect Connect回線（Dedicated Connection）上でイーサネットフレーム全体をAES-256-GCMで暗号化し、ホップバイホップで通信を保護する。1Gbps・10Gbps・100Gbpsの接続でサポートされており、Direct Connectロケーションから顧客ルーターまでの物理リンク上で動作するため、物理的な盗聴から保護できる。レイヤー3以上のオーバーヘッドなく帯域効率を維持できる点も特長である。 選択肢AのSite-to-Site VPN over Direct ConnectはIPsec（レイヤー3）暗号化を提供するが、要件が求めるレイヤー2暗号化ではない。帯域オーバーヘッドが発生し、最大スループットも制限される。 選択肢CのTransit Gateway VPNもIPsec（レイヤー3）暗号化であり、レイヤー2のホップバイホップ暗号化という要件を満たさない。Direct Connectの高帯域幅・低レイテンシの利点も損なわれる。 選択肢DのALB＋ACM証明書によるTLS終端はアプリケーション層（レイヤー7）の暗号化であり、Physical Direct Connect回線上のレイヤー2保護とは無関係。すべてのDirect Connectトラフィックを網羅する要件を満たせない。