ある企業が、Transit Gatewayに接続された複数のVPCにアプリケーションをデプロイしています。インターネットへのトラフィックを送信するVPCはすべて、共有サービスVPCを経由してルーティングする必要があります。各VPCサブネットは、Transit Gatewayを指すデフォルトのVPCルートテーブルを使用し、Transit GatewayはVPCアタッチメントにデフォルトのルートテーブルを使用します。セキュリティ監査の結果、あるVPC内のEC2インスタンスが、他の企業のVPC内のEC2インスタンスと通信できることが判明しました。各VPCは、特定の限られた承認済みVPCセットとのみ通信できる必要があります。これを強制するために、ソリューションアーキテクトは何をすべきですか？

正解は、各VPCアタッチメントに専用のTransit Gatewayルートテーブルを作成し、各アタッチメントが承認済みVPCのみに到達するようにルートを設定することです。これにより、Transit GatewayレベルでVPC間のトラフィックフローをきめ細かく制御できます。各VPCアタッチメントに異なるルートテーブルを関連付けることで、特定のVPCが通信できるVPCを正確に定義し、セキュリティ要件を満たすことができます。 ネットワークACLの変更は、サブネットレベルでの制御を提供しますが、VPC間のルーティングポリシーを強制するのには不十分であり、管理が複雑になります。セキュリティグループの更新はインスタンスレベルの制御であり、VPC間のルーティングポリシーには直接影響しません。各VPCのメインルートテーブルを変更する方法は、Transit GatewayがVPCアタッチメントにデフォルトのルートテーブルを使用しているため、VPC間のルーティングポリシーを効果的に強制できません。