会社は、インターフェースVPCエンドポイントとRoute 53ゾーンの一元管理を共有サービスアカウントで行い、アカウント間でTransit Gatewayのハブアンドスポークモデルを使用したいと考えています。ネットワークサービスチームは、すべてのRoute 53ゾーンとインターフェースエンドポイントを一元的に管理し、パブリックインターネットを介さずにAWS KMSへのプライベートアクセスを提供する必要があります。これを実現するために、エンジニアは何を実装すべきですか？

正解は、共有サービスアカウントでAWS KMSのインターフェースエンドポイントを作成し、エンドポイントのプライベートDNS名を無効にし、エイリアスレコードがエンドポイントを指すプライベートホストゾーンを共有サービスアカウントに作成し、そのプライベートホストゾーンを各AWSアカウントのスポークVPCに関連付ける、です。これにより、KMSへのプライベートアクセスを一元的に管理し、各スポークVPCから共有サービスアカウントのエンドポイントにアクセスできるようになります。プライベートDNS名を無効にすることで、Route 53プライベートホストゾーンでカスタムDNS解決を制御できます。他のオプションは、エンドポイントの分散管理、不適切なDNS設定、またはプライベートホストゾーンの不適切な関連付けにより、一元管理の要件を満たしません。