SAP-C02#4(complexity)
ある小売企業は、5 つのアカウントから構成される Organizations を運営しています。共有サービス VPC 内の Microsoft AD と PrivateLink エンドポイントを、他 4 アカウントのワークロード VPC からプライベートに利用させたいと考えています。VPC ピアリング数を増やさず、最も運用しやすく拡張性の高い方法はどれですか。
正解：D
正解の根拠
Transit Gateway (TGW) はハブ・アンド・スポーク型のネットワークハブで、AWS RAM を介して Organizations 内で共有できます。ワークロード VPC を TGW にアタッチし、共有サービス VPC へのルートのみを TGW ルートテーブルで伝播することで、VPC 間の直接ピアリングを排除しつつ AD/PrivateLink への到達性を確保できます。アカウント追加時は新しい VPC を TGW にアタッチするだけで線形に拡張できます。
| 選択 | スケール特性 |
|---|---|
| VPC ピアリング | N(N-1)/2 で接続数が爆発 |
| TGW + RAM | VPC 数に対し線形で増加 |
不正解の理由
- A: VPC 数が増えるたびにメッシュ接続が指数関数的に増え、運用コストが過大になります。
- B: AD トラフィックをインターネット経由にすることはセキュリティ上不適切で、要件のプライベート接続にも反します。
- C: VPN 経由の AD 接続は遅延と運用が増え、PrivateLink のメリットも活かせません。
コメント