Q62 — AWS SAP-C02 第1章

第 62/75 题 | ← 返回第1章

Q137. 一家公司正在 AWS 云中设计其网络配置。公司使用 AWS Organizations 管理多账户设置。公司有三个 OU。每个 OU 包含超过 100 个 AWS 账户。每个账户有一个 VPC，同一 OU 中所有 VPC 位于同一 AWS 区域。所有 AWS 账户的 CIDR 范围不重叠。公司需要实施一个解决方案，使同一 OU 中的 VPC 可以相互通信，但不能与其他 OU 中的 VPC 通信。哪个解决方案以最少的运维开销满足这些要求？

• A. 创建 AWS CloudFormation 堆栈集，在每个 OU 中的账户之间建立 VPC 对等连接。在每个 OU 中预置堆栈集。
• B. 在每个 OU 中，创建一个具有单个 VPC 的专用网络账户。使用 AWS Resource Access Manager (AWS RAM) 将此 VPC 与 OU 中的所有其他账户共享。在网络账户和 OU 中的每个账户之间创建 VPC 对等连接。
• C. 在每个 OU 的一个账户中预置中转网关。使用 AWS Resource Access Manager (AWS RAM) 在组织内共享中转网关。为每个 VPC 创建中转网关 VPC 附件。 ✓
• D. 在每个 OU 中，创建一个具有单个 VPC 的专用网络账户。在网络账户和 OU 中的其他账户之间建立 VPN 连接。使用第三方路由软件在 VPC 之间路由传递流量。

正确答案: C. 在每个 OU 的一个账户中预置中转网关。使用 AWS Resource Access Manager (AWS RAM) 在组织内共享中转网关。为每个 VPC 创建中转网关 VPC 附件。

解析

为以最少运维开销实现 OU 内 VPC 通信，推荐的解决方案是： C. 在每个 OU 的一个账户中预置中转网关。使用 AWS Resource Access Manager (AWS RAM) 在组织内共享中转网关。为每个 VPC 创建中转网关 VPC 附件。 说明： 每个 OU 一个中转网关，通过 RAM 共享给 OU 内的账户。不同 OU 使用不同的中转网关，因此 OU 之间的 VPC 无法通信。这种方案支持超过 100 个账户的扩展需求。