ある大企業のShared ServicesアカウントにREST APIベースの認証・認可サービスが構築されています。AWS Organizations内に属する50のアカウントの100以上のVPCから、このサービスをプライベートに利用したいと考えています。セキュリティ要件として以下が定められています。 ・通信はAWSネットワーク内で完結しインターネットを経由しないこと ・消費側VPCからはShared ServicesのVPCネットワーク全体には到達できないこと 最もスケーラブルかつセキュアな接続アーキテクチャはどれですか？
AWS PrivateLinkのエンドポイントサービス（プロデューサーモデル）は、Network Load Balancerをフロントエンドとして「エンドポイントサービス」を公開し、消費側がインターフェースVPCエンドポイント経由でそのサービスのみにアクセスできる仕組み。 本構成の主な特徴： ・消費側VPCはサービスのNLBエンドポイントのみに到達でき、Shared Services VPCの他リソースには到達できない ・CIDRが重複していても問題なく機能する ・許可プリンシパルリストでOrganizations内の特定アカウント・OUのみをホワイトリスト登録できる ・通信はAWSプライベートネットワーク内で完結しインターネットを経由しない ・100以上のVPCからでもスケーラブルに対応できる 選択肢AのVPCピアリングは1対1接続であり100以上のVPCに対応するには各VPCとの個別ピアリングが必要となり管理コストが増大する。またピアリング後は消費側からShared Services VPCのCIDR全体に到達可能になり「VPC全体へのアクセスを与えない」要件に反する。 選択肢BのTransit GatewayはVPC接続管理に有効だが、アタッチ後は消費側に過剰な到達性を与えるリスクがあり、特定サービスのみへのアクセス制限が複雑になる。 選択肢DのAPI Gatewayプライベートエンドポイントは技術的に有効だが、既存REST APIをAPI Gatewayに再構築する追加コストが発生し本要件には適さない。