ある大企業では、AWS Transit Gatewayを使用して開発VPC（Dev）、本番VPC（Prod）、共有サービスVPC（Shared）を接続しています。セキュリティポリシーにより、DevVPCとProdVPCは相互に直接通信できないようにする必要がありますが、どちらもSharedVPCにはアクセスできる必要があります。最小の運用負荷でこの要件を満たす最適なTransit Gatewayの設定はどれですか？
Transit Gatewayで複数のルートテーブルを使用するトラフィックセグメンテーションが正解です。DevアタッチメントをDevルートテーブルに、ProdアタッチメントをProdルートテーブルに関連付け、各ルートテーブルにはSharedVPCへのルートのみを設定します。これによりDev↔Prod間の直接通信を防ぎつつSharedへのアクセスは維持できます。 選択肢Aの1つのTransit Gatewayルートテーブルを使用する方式では、セキュリティグループはEC2インスタンスレベルの制御であり、Transit Gatewayのルーティング自体を制御できません。 選択肢Cの各サブネットにNACL（ネットワークACL）を設定する方式は、NACLはVPC内サブネットレベルで機能し、Transit Gateway経由のルーティング制御には使用できません。 選択肢DのVPCルートテーブルから相手VPCのCIDRへのルートエントリを手動で削除する方式は、Transit Gatewayのルーティング決定には依存せず、運用負荷が増加します。