Uma organização usa o AWS Organizations com oito contas-membro e prevê um máximo de 20 contas. A empresa executa todas as cargas de trabalho na AWS e tem uma nova política de segurança que exige: • Nenhuma conta executa cargas de trabalho em uma VPC dentro dessa conta. • Todas as cargas de trabalho devem ser iniciadas em sub-redes de uma VPC gerenciada centralmente, acessível por todas as contas. • Nenhuma conta pode modificar os recursos de aplicação de outra conta dentro da VPC compartilhada. • A VPC gerenciada centralmente deve residir em uma conta existente chamada Account-A na organização. Um modelo do CloudFormation na Account-A cria a VPC e várias sub-redes e exporta os IDs das sub-redes como saídas da stack. Qual solução completa a configuração para satisfazer esses requisitos?

A opção correta é usar o AWS Resource Access Manager (AWS RAM) para compartilhar as sub-redes da VPC. O AWS RAM permite que a Account-A compartilhe suas sub-redes com as contas-membro, permitindo que estas iniciem cargas de trabalho diretamente nessas sub-redes compartilhadas. Isso atende aos requisitos de não executar cargas de trabalho em VPCs locais e de usar uma VPC gerenciada centralmente, sem que as contas-membro modifiquem recursos de outras contas. A importação de IDs de sub-rede com Fn::ImportValue não compartilha a sub-rede em si, apenas seus identificadores, o que não permite que outras contas lancem recursos nela. Criar um Transit Gateway não permite que as contas-membro lancem diretamente cargas de trabalho nas sub-redes da Account-A; ele apenas facilita a conectividade. O emparelhamento de VPC conecta VPCs, mas não permite que uma conta lance recursos diretamente na VPC emparelhada de outra conta.