Gedeelde Transit Gateway: wie besit die roetes in AWS RAM
RAM-deling laat 'n ander rekening 'n VPC koppel, maar roetebundels, assosiasies en propagasies bly by die gateway-eienaar. Hier is die grens.
Om 'n Transit Gateway met Resource Access Manager te deel, doen een spesifieke ding: dit laat 'n ander rekening 'n bepaalde stel koppel-API's teen 'n hulpbron roep wat hy nie besit nie. Dit dra nie die gateway, sy roetebundels of die reg om te besluit hoe verkeer deurgestuur word oor nie. Mense neem anders aan omdat die koppeling in die ontvanger se konsole verskyn en dadelik werk, wat soos eienaarskap voel. Die meganisme daaronder is 'n toestemmingstoekenning op 'n gedeelde hulpbron, en elke kindobjek bly binne die eienaar se rekeninggrens. Daardie skeiding verduidelik die meeste toegang-geweier-kaartjies rondom gedeelde deurgang.
Wat die deling werklik delegeer
'n Hulpbrondeling noem 'n hulpbron, 'n prinsipaal en 'n bestuurde toestemming. Die toestemming lys die aksies wat daardie prinsipaal mag uitvoer, en vir 'n Transit Gateway dek daardie lys koppelbewerkings op die gedeelde hulpbron.
Enigiets buite die lys misluk by die API eerder as in die konsole, en daarom verskyn die fout dikwels die eerste keer dat 'n script hardloop.
Roetebundels, assosiasies en propagasies bly by die eienaar
Deursturing word deur drie kindobjekte bepaal: aan watter roetebundel 'n koppeling geassosieer is, in watter bundels dit propageer, en watter roetes daardie bundels hou. AWS se delingsdokumentasie sê dat 'n ontvanger nie deurgangsroetebundels of hul assosiasies en propagasies deur die deling kan skep, wysig of verwyder nie. Daardie oproepe behoort aan die eienaarrekenung. 'n Ontvanger wat 'n nuwe assosiasie nodig het, vra 'n administratiewe verandering aan, nie die uitoefening van 'n toestemming wat hy vergeet het om te aktiveer nie.
Die tabel hieronder is die verdeling wat ek in ontwerpdokumente sit, want dit oorleef personeelwissels.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Lees die middelste ry aandagtig: die VPC-eienaar beheer sy subnetroetes, die gateway-eienaar beheer die sentrale deursturingsbesluit, en 'n werkende pad het albei nodig. Geen van die twee rekeninge kan dit alleen voltooi nie.
Een pad, twee rekeninge
Volg 'n pakket van 'n spoke-VPC na 'n on-premisse-voorvoegsel. Die spoke-subnetroetebundel moet daardie voorvoegsel na die Transit Gateway-koppeling stuur, wat die VPC-eienaar kan verander. Die gateway moet dan 'n roete in die koppeling se geassosieerde bundel hê wat na die VPN-koppeling wys, wat net die eienaar kan verander. Terugkeerverkeer het die spieël van albei nodig. Misluk een kant en jy kry 'n pad wat half geïnstalleer is en soos 'n firewallprobleem lyk.
Skryf albei veranderinge in een kaartjie met twee toesighouers, anders word hulle in verskillende weke klaargemaak.
Gebruik beskikbaarheidsone-IDs wanneer plasing saak maak
Sone name is rekening-plaaslike aliasse. us-east-1a in een rekening is nie gewaarborg om dieselfde fisiese sone as us-east-1a in 'n ander te wees nie. Wanneer die ontwerp 'n koppeling en 'n werklading in dieselfde sone nodig het, vergelyk sone-IDs en teken hulle aan.
Om name te vergelyk lewer 'n diagram wat reg lyk en 'n latensieprofiel wat dit nie is nie. Kontroleer dit terwyl die diagram nog geteken word, nie nadat iemand die verskil gemeet het nie.
Ontdeling sny nie die datapad af nie
Om die deling te verwyder voel soos herroeping, en dit is nie 'n onmiddellike verkeersstop nie. AWS dokumenteer dat 'n koppeling funksioneel bly wanneer die gateway ontdeel word. Die toestemming om die hulpbron te bestuur verdwyn, terwyl die koppeling wat reeds bestaan aanhou deurstuur tot iemand dit verwyder of deaktiveer. Beplan herroeping as twee stappe: verwyder die deling, dan die koppeling, met die eienaar wat die tweede doen.
As die deling jou enigste beheer is, het jy nie 'n beheer nie.
Hou die delingsrekord en die roeteringrekord saam
Twee artefakte beantwoord twee verskillende vrae. Die delingsrekord sê wie met die hulpbron mag werk. Die roetebundels sê watter netwerke werklik kan praat. Bêre hulle saam met dieselfde eienaarlys, anders begin die volgende voorval met iemand wat 'n toestemming bewys wat nooit die probleem was nie.
Toets dan een vloei in elke rigting en een voorvoegsel wat onbereikbaar moet bly.