بوابة Transit Gateway المشتركة: من يملك المسارات في AWS RAM
تسمح مشاركة RAM لحساب آخر بإرفاق VPC، لكن جداول المسارات والارتباطات والانتشارات تبقى مع مالك البوابة. هذا هو الحد الفاصل.
لمشاركة بوابة Transit Gateway مع Resource Access Manager أثر واحد محدد: أنها تتيح لحساب آخر استدعاء مجموعة محددة من واجهات برمجة تطبيقات الإرفاق على مورد لا يملكه. وهي لا تنقل البوابة ولا جداول مساراتها ولا حق تقرير كيفية تمرير حركة المرور. يفترض الناس عكس ذلك لأن الإرفاق يظهر في وحدة تحكم المستلم ويعمل فوراً، وهو ما يبدو كملكية. الآلية الكامنة وراء ذلك هي منح إذن على مورد مشترك، ويبقى كل كائن فرعي داخل حدود حساب المالك. وهذا الانفصال يفسر معظم تذاكر رفض الوصول المتعلقة بالعبور المشترك.
ما الذي تفوضه المشاركة فعلاً
تحدد مشاركة المورد مورداً وأصيلاً وإذناً مُداراً. يسرد الإذن الإجراءات التي يجوز لذلك الأصيل تنفيذها، وبالنسبة إلى بوابة Transit Gateway تشمل تلك القائمة عمليات الإرفاق على المورد المشترك.
أي شيء خارج القائمة يفشل عند واجهة البرمجة بدلاً من وحدة التحكم، ولهذا يظهر الخطأ غالباً عند أول تشغيل لنص برمجي.
جداول المسارات والارتباطات والانتشارات تبقى لدى المالك
يُحدد التمرير بثلاثة كائنات فرعية: جدول المسارات الذي يرتبط به الإرفاق، والجداول التي ينتشر إليها، والمسارات التي تحملها تلك الجداول. توضح وثائق المشاركة في AWS أن المستلم لا يستطيع إنشاء جداول مسارات بوابة Transit Gateway أو تعديلها أو حذفها، ولا ارتباطاتها وانتشاراتها، عبر المشاركة. تلك الاستدعاءات تخص حساب المالك. المستلم الذي يحتاج ارتباطاً جديداً يطلب تغييراً إدارياً، لا ممارسة إذن نسي تمكينه.
الجدول أدناه هو التقسيم الذي أضعه في وثائق التصميم، لأنه يصمد أمام تغيّر الموظفين.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
اقرأ الصف الأوسط بعناية: مالك VPC يتحكم في مسارات الشبكة الفرعية، ومالك البوابة يتحكم في قرار التمرير المركزي، والمسار العامل يحتاج الاثنين. لا يستطيع أي من الحسابين إكماله بمفرده.
مسار واحد، حسابان
تتبّع حزمة من VPC فرعية إلى بادئة محلية. يجب أن يرسل جدول مسارات الشبكة الفرعية تلك البادئة إلى إرفاق بوابة Transit Gateway، وهو ما يستطيع مالك VPC تغييره. ثم يجب أن يكون في جدول البوابة المرتبط بالإرفاق مسار يشير إلى إرفاق VPN، وهو ما لا يستطيع تغييره سوى المالك. حركة المرور العائدة تحتاج إلى المرآة من كليهما. أخطئ في أي جانب فتحصل على مسار نصف مُثبَّت يبدو كمشكلة جدار حماية.
اكتب التغييرين في تذكرة واحدة مع مسؤولَين، وإلا سيُنجزان في أسبوعين مختلفين.
استخدم معرّفات منطقة التوفر عندما تكون المواضعة مهمة
أسماء المناطق هي أسماء مستعارة محلية للحساب. us-east-1a في حساب واحد ليس مضموناً أن يكون المنطقة الفيزيائية نفسها مثل us-east-1a في حساب آخر. عندما يحتاج التصميم إلى إرفاق وحمل عمل في المنطقة نفسها، قارن معرّفات AZ وسجّلها.
مقارنة الأسماء تنتج مخططاً يبدو صحيحاً وملف تعريف كمون ليس كذلك. افحص ذلك بينما لا يزال المخطط يُرسم، لا بعد أن يقيس أحد الفرق.
إلغاء المشاركة لا يقطع مسار البيانات
إزالة المشاركة تبدو كسحب للإذن، وهي ليست إيقافاً فورياً لحركة المرور. توثّق AWS أن الإرفاق يظل عاملاً عندما تُلغى مشاركة البوابة. يختفي إذن إدارة المورد، بينما يستمر الإرفاق الموجود في التمرير حتى يحذفه أحدهم أو يعطّله. خطّط للسحب خطوتين: أزل المشاركة، ثم أزل الإرفاق، ويتولى المالك الخطوة الثانية.
إذا كانت المشاركة هي ضابطك الوحيد، فأنت لا تملك ضابطاً.
احفظ سجل المشاركة وسجل التوجيه معاً
قطعتان تجيبان عن سؤالين مختلفين. سجل المشاركة يقول من يجوز له العمل على المورد. جداول المسارات تقول أي الشبكات يمكنها التواصل فعلاً. خزّنهما معاً مع قائمة المالك نفسها، وإلا بدأ الحادث التالي بشخص يثبت إذناً لم يكن المشكلة قط.
ثم اختبر تدفقاً واحداً في كل اتجاه وبادئة واحدة يجب أن تبقى غير قابلة للوصول.