Un ingénieur réseau migre d'un centre de données sur site vers un environnement multi-comptes AWS Control Tower. Un Transit Gateway existe dans un compte de services réseau central et est partagé avec l'Organisation à l'aide d'AWS RAM. Un compte de services partagés héberge des charges de travail qui doivent être disponibles à l'échelle de l'organisation. L'ingénieur doit automatiser la création de composants réseau communs : provisionner un VPC pour les charges de travail d'application dans chaque compte membre nouveau et existant et connecter ces VPC au Transit Gateway dans le compte central. Quelle combinaison d'étapes permettra d'y parvenir avec le moins de frais opérationnels ? (Choisissez trois.)

Pour automatiser le provisionnement de VPC et leur connexion à un Transit Gateway dans un environnement AWS Control Tower multi-comptes avec un minimum de frais opérationnels, la meilleure approche est d'utiliser les personnalisations d'usine de compte (AFC) de Control Tower, AWS Service Catalog et des rôles d'exécution appropriés. La mise à jour des comptes existants avec une AFC et le choix de la même AFC pour les nouveaux comptes garantit une configuration cohérente et automatisée dès la création du compte. Un modèle AWS CloudFormation définit l'infrastructure réseau (VPC, attachement TGW) et est publié en tant que produit AWS Service Catalog. Ce produit peut ensuite être déployé via l'AFC. Les rôles AWSControlTowerBlueprintAccess dans le compte de services partagés et dans chaque compte membre permettent à Control Tower d'exécuter les modèles CloudFormation via Service Catalog dans les comptes cibles, assurant ainsi les autorisations nécessaires pour le déploiement automatisé. Les options incorrectes impliquant des fonctions Lambda et EventBridge sont plus complexes à gérer à l'échelle de l'organisation et ne s'intègrent pas aussi nativement avec le flux de provisionnement de comptes de Control Tower que les AFC.