【正解】A
【0からの解説】
要件は、(1) すべての VPC が cloud.example.com を解決できる、(2) オンプレミスからも解決できる、をできるだけ高性能（低レイテンシー・少ホップ）で満たすことです。
(1) について、プライベートホストゾーン（PHZ）を「すべての VPC に関連付ける」と、各 VPC は自身の VPC リゾルバー（Amazon が提供する .2 リゾルバー）で直接 PHZ を解決できます。リゾルバーへ転送する必要がないため最も高速です。1 つの VPC だけに関連付ける構成（C・D）だと、他の VPC は転送経由でしか解決できず遅くなります。
(2) について、オンプレミスから AWS 内の名前を解決させるには Route 53 Resolver の「インバウンドエンドポイント（インバウンドリゾルバー）」を使います。オンプレミス DNS に cloud.example.com の転送ルールを設定し、インバウンドエンドポイントの IP を向け先にすれば、オンプレミスから AWS の PHZ を解決できます。
さらに、すべての VPC を Transit Gateway にアタッチしてあることで、オンプレミス → インバウンドリゾルバー、および VPC 間の到達性が確保されます。これらを満たすのは選択肢 A です。
【誤りの選択肢】
B：オンプレミスからの解決を「EC2 上の条件付きフォワーダー」で実現する構成は、自前で EC2 を運用する必要があり、Route 53 Resolver インバウンドエンドポイントを使うマネージドな A に比べ運用負荷が高く、パフォーマンス/可用性でも劣ります。
C：PHZ を共有サービス VPC のみに関連付けると、他の VPC は直接解決できません。さらにオンプレミスからの「インバウンド」解決に必要なのはインバウンドエンドポイントであり、アウトバウンドリゾルバー（AWS→オンプレミス方向の転送用）では役割が逆で要件を満たせません。
D：インバウンドリゾルバーの方向は正しいものの、PHZ を共有サービス VPC のみに関連付け、かつ共有サービス VPC のみを TGW にアタッチしているため、「すべての VPC が解決できる」要件を満たせず、各 VPC の直接解決による高性能化もできません。
【参考】
Route 53 Resolver によるハイブリッド DNSプライベートホストゾーンの複数 VPC への関連付け