Um engenheiro de rede está migrando de um data center on-premises para um ambiente multi-conta do AWS Control Tower. Um Transit Gateway existe em uma conta central de serviços de rede e é compartilhado com a Organization usando o AWS RAM. Uma conta de serviços compartilhados hospeda workloads que devem estar disponíveis em toda a organização. O engenheiro precisa automatizar a criação de componentes de rede comuns: provisionar uma VPC para workloads de aplicação em cada conta membro nova e existente e conectar essas VPCs ao Transit Gateway na conta central. Qual combinação de etapas alcançará isso com o menor overhead operacional? (Escolha três.)

A combinação correta de etapas utiliza o AWS Control Tower Account Factory Customization (AFC) para automatizar o provisionamento de rede. A AFC permite definir um modelo do CloudFormation (passo 2) que será aplicado a novas contas provisionadas e a contas existentes atualizadas, garantindo consistência. O modelo do CloudFormation deve ser carregado como um produto do AWS Service Catalog na conta de serviços compartilhados. Para que o Control Tower possa implantar esses recursos nas contas membro, é necessário criar a role AWSControlTowerBlueprintAccess (passo 3) tanto na conta de serviços compartilhados quanto em cada conta membro, concedendo as permissões necessárias. As opções incorretas envolvem a criação de funções Lambda ou regras do EventBridge para orquestração, o que adicionaria complexidade e sobrecarga operacional desnecessárias, pois o AFC do Control Tower já oferece essa funcionalidade de forma nativa e integrada.