Una empresa utiliza AWS Organizations con tres unidades organizativas (OU). Cada OU contiene más de 100 cuentas. Cada cuenta tiene una única VPC en la misma Región por OU, y ninguno de los rangos CIDR de las VPC se superponen. El requisito es que las VPC dentro de la misma OU puedan comunicarse entre sí, pero las VPC en diferentes OU no. ¿Qué solución logra esto con la MENOR sobrecarga operativa?

La opción correcta es implementar un Transit Gateway (TGW) por OU. Esto permite la comunicación centralizada entre las VPC dentro de cada OU. Al compartir el TGW con AWS Resource Access Manager (RAM), todas las cuentas de la OU pueden adjuntar sus VPC al TGW, logrando la conectividad requerida con baja sobrecarga operativa. Las opciones incorrectas son: El emparejamiento de VPC a través de CloudFormation StackSets generaría una sobrecarga operativa y de gestión significativa debido al gran número de VPC (más de 100 por OU) y la naturaleza no transitiva del emparejamiento. Crear una cuenta de red dedicada y compartir una VPC con AWS RAM no permite la comunicación directa entre las VPC de las cuentas de la OU; solo permite que las cuentas accedan a los recursos de la VPC compartida. Además, el emparejamiento de VPC desde la cuenta de red a cada cuenta de la OU seguiría siendo una solución compleja y no escalable. Las conexiones VPN y el software de enrutamiento de terceros son soluciones complejas, costosas y con alta sobrecarga operativa en comparación con un TGW nativo de AWS.