【正解】C
【0からの解説】
AWS Global Accelerator は、世界中のユーザーに対して 2 つの固定アンキャスト IP アドレス（静的 IP）を提供し、AWS のグローバルネットワーク（エッジロケーション）を経由して、最も近いリージョンのエンドポイント（ALB/NLB/EC2/Elastic IP）へトラフィックを最適経路で転送するサービスです。本問では、ALB をアクセラレーターのエンドポイントグループに登録します。
要件は次の 2 点です。
(1) アクセラレーター経由でのみアクセスでき、(2) インターネットから ALB へ直接アクセスできないようにする。
ALB をインターネット向け（internet-facing）エンドポイントとして Global Accelerator に登録するには、ALB がパブリックサブネットに配置され、インターネットゲートウェイ (IGW) がアタッチされ、サブネットのルートテーブルに IGW へのルートが必要です（ALB がインターネットからのトラフィックを受け取れる状態）。これが選択肢 C の「パブリックサブネット + IGW + ルート追加」です。
そのうえで「アクセラレーター経由のみ」という制限を実現するには、ALB のセキュリティグループのインバウンドルールを、Global Accelerator が使用する IP アドレス範囲のみに絞り込みます。Global Accelerator の IP 範囲は AWS が公開している ip-ranges.json の「GLOBALACCELERATOR」サービスから取得でき、これを送信元に指定すれば、アクセラレーターを通らない直接アクセスはセキュリティグループでブロックされます。これが C の「アクセラレーターの IP アドレスからのインバウンドのみ許可」に対応します。よって C が要件を完全に満たします。
【誤りの選択肢】
A：プライベートサブネットに ALB を置き、かつ IGW へのルートを追加しない構成です。これではインターネット向け ALB として機能せず、Global Accelerator のエンドポイントとして外部トラフィックを受けられません。さらにセキュリティグループが「インターネットからのインバウンドを許可」となっており、アクセラレーター経由のみという制限も満たしません。
B：プライベートサブネット配置で IGW の記述もなく、インターネット向け ALB として成立しません。加えてセキュリティグループが「インターネットから許可」のため、直接アクセスを排除する要件を満たしません。
D：セキュリティグループはアクセラレーター IP のみ許可で正しいものの、ALB を「プライベートサブネット」に置きつつ IGW ルートを追加するという矛盾した構成です。インターネット向け ALB はパブリックサブネット（IGW へのデフォルトルートを持つサブネット）に配置するのが要件であり、プライベートサブネットという記述が誤りです。正しくはパブリックサブネットに置く C が適切です。
※補足：ExamTopics の Most Voted は D ですが、インターネット向け ALB を Global Accelerator のエンドポイントとして用いる本構成では ALB をパブリックサブネットに配置する必要があり、「プライベートサブネット + IGW ルート」という D の記述は構成として矛盾しています。アクセスをアクセラレーター経由に限定するセキュリティグループ条件は C・D とも同一であるため、サブネットの記述が正しい C を本解説の正解とします。
【参考】
Secure VPC connections in AWS Global AcceleratorAWS Global Accelerator のエンドポイントへのアクセスをセキュリティグループで制限する