Q70 — AWS ANS-C01 第1章

第 70/100 题 | ← 返回第1章

一家全球快递公司正在对其车队管理系统进行现代化改造。该公司拥有多个业务部门，每个业务部门在其自己的AWS账户中设计并维护应用程序，这些应用程序托管在相同AWS区域内的独立应用VPC中。每个业务部门的应用程序均设计为从一个中心共享服务VPC获取数据。该公司希望其网络连接架构能提供细粒度的安全控制，同时在未来更多业务部门从中心共享服务VPC消费数据时具备可扩展性。哪种解决方案能以最安全的方式满足这些要求？

• A. 创建一个中心传输网关（transit gateway）。为每个应用VPC创建一个VPC附件。利用传输网关在所有VPC之间提供全网状连接。
• B. 在中心共享服务VPC与每个业务部门AWS账户中的应用VPC之间创建VPC对等连接。
• C. 在中心共享服务VPC中创建由AWS PrivateLink支持的VPC终端节点服务，并在每个应用VPC中创建VPC终端节点。 ✓
• D. 创建一个中心传输VPC，其中部署来自AWS Marketplace的VPN设备。为每个VPC创建一条到该传输VPC的VPN连接，以在所有VPC之间提供全网状连接。

正确答案: C. 在中心共享服务VPC中创建由AWS PrivateLink支持的VPC终端节点服务，并在每个应用VPC中创建VPC终端节点。

解析

C选项通过AWS PrivateLink创建中心共享服务VPC中的VPC端点服务，并在每个应用VPC中创建VPC端点，实现了安全且可扩展的网络连接架构。这种方法允许业务单元的应用VPC安全地访问中心共享服务VPC中的资源，而无需暴露给公共互联网或需要复杂的网络路由配置。它满足了粒度安全控制的需求，并且随着未来更多业务单元从中心共享服务VPC消费数据，可以轻松地扩展。其他选项要么提供了过于复杂的网络路由（A、D），要么在安全性或扩展性上有所欠缺（B）。