Организация использует AWS Organizations с восемью дочерними аккаунтами и ожидает максимум 20 аккаунтов. Компания запускает все рабочие нагрузки в AWS и имеет новую политику безопасности, требующую: • Ни один аккаунт не запускает рабочие нагрузки в VPC внутри этого аккаунта. • Все рабочие нагрузки должны запускаться в подсетях централизованно управляемого VPC, доступного для всех аккаунтов. • Ни один аккаунт не может изменять ресурсы приложения другого аккаунта в общем VPC. • Централизованно управляемый VPC должен находиться в существующем аккаунте под названием Account-A в организации. Шаблон CloudFormation в Account-A создает VPC и несколько подсетей и экспортирует идентификаторы подсетей как выходные данные стека. Какое решение завершает настройку для удовлетворения этих требований?

Правильный ответ — использование AWS Resource Access Manager (AWS RAM). AWS RAM позволяет Account-A совместно использовать подсети VPC с другими аккаунтами в организации, удовлетворяя требованию централизованно управляемого VPC и запуску рабочих нагрузок в нем. Это также соответствует требованию, чтобы ни один аккаунт не изменял ресурсы приложения другого аккаунта, поскольку каждый аккаунт будет владеть своими рабочими нагрузками в общих подсетях. Использование Fn::ImportValue не подходит, так как оно импортирует значения, а не предоставляет доступ к самим ресурсам. Транзитный шлюз обеспечивает связность, но не позволяет запускать рабочие нагрузки в подсетях другого аккаунта. VPC peering также обеспечивает связность, но не позволяет запускать инстансы в пиринговом VPC, а только маршрутизировать трафик между ними.