Het bedrijf wil het beheer van interface VPC endpoints en Route 53 zones centraliseren in een shared services account, terwijl een Transit Gateway hub-and-spoke model over accounts heen wordt gebruikt. Het netwerkserviceteam moet alle Route 53 zones en interface endpoints centraal beheren en privétoegang bieden tot AWS KMS zonder dat verkeer over het openbare internet gaat. Wat moet de engineer implementeren om dit te bereiken?

De juiste oplossing centraliseert het beheer van het KMS-interface-endpoint en de DNS-resolutie. Door een interface-endpoint voor AWS KMS in het shared services-account te maken en de private DNS-naam uit te schakelen, wordt voorkomen dat het endpoint automatisch een private DNS-record aanmaakt in de VPC waar het is gemaakt. Vervolgens wordt een private hosted zone in het shared services-account gemaakt met een alias-record dat naar dit endpoint verwijst. Deze private hosted zone wordt gekoppeld aan alle spoke VPC's, waardoor alle spoke-accounts privé toegang krijgen tot KMS via de Transit Gateway en de gecentraliseerde DNS-resolutie. De andere opties zijn onjuist omdat ze ofwel de DNS-resolutie niet centraliseren (optie 2), de endpoints niet centraliseren (opties 3 en 4), of de koppeling van de private hosted zone niet correct uitvoeren.