Dijeljeni Transit Gateway: ko posjeduje rute u AWS RAM-u

Dijeljenje Transit Gatewaya putem Resource Access Managera čini jednu konkretnu stvar: omogućava drugom računu da pozove definirani skup API-ja za prilaganje prema resursu koji ne posjeduje. Ono ne prenosi gateway, njegove tabele ruta ni pravo da se odlučuje kako se saobraćaj prosljeđuje. Ljudi pretpostavljaju suprotno jer se prilaganje pojavljuje u konzoli primaoca i odmah radi, što se osjeća kao vlasništvo. Mehanizam ispod je dodjela dozvole na dijeljeni resurs, a svaki podređeni objekat ostaje unutar granice računa vlasnika. Ta podjela objašnjava većinu tiketa za odbijen pristup oko dijeljenog tranzita.

Šta dijeljenje zapravo delegira

Dijeljenje resursa imenuje resurs, principala i upravljanu dozvolu. Dozvola navodi radnje koje taj principal smije izvršiti, a za Transit Gateway taj spisak pokriva operacije prilaganja na dijeljeni resurs.

Sve izvan spiska pada na API-ju, a ne u konzoli, zato se greška često pojavljuje pri prvom pokretanju skripte.

Tabele ruta, asocijacije i propagacije ostaju vlasniku

Prosljeđivanje određuju tri podređena objekta: s kojom tabelom ruta je prilaganje povezano, u koje tabele se propagira i koje rute te tabele drže. AWS dokumentacija o dijeljenju navodi da primalac ne može kreirati, mijenjati ni brisati tabele ruta tranzitnog gatewaya ni njihove asocijacije i propagacije putem dijeljenja. Ti pozivi pripadaju računu vlasnika. Primalac kojem treba nova asocijacija traži administrativnu promjenu, a ne izvršava dozvolu koju je zaboravio omogućiti.

Tabela ispod je podjela koju stavljam u projektne dokumente, jer preživljava promjene osoblja.

Pažljivo pročitajte srednji red: vlasnik VPC-a kontroliše rute svoje podmreže, vlasnik gatewaya kontroliše centralnu odluku o prosljeđivanju, a radna putanja traži oboje. Nijedan račun to ne može završiti sam.

Jedna putanja, dva računa

Pratite paket od spoke VPC-a do lokalnog prefiksa. Tabela ruta spoke podmreže mora poslati taj prefiks na prilaganje tranzitnog gatewaya, što vlasnik VPC-a može promijeniti. Gateway zatim mora imati rutu u povezanoj tabeli prilaganja koja pokazuje na VPN prilaganje, a to samo vlasnik može promijeniti. Povratni saobraćaj traži ogledalo oba. Propustite bilo koju stranu i dobijate putanju koja je napola instalirana i izgleda kao problem s firewallom.

Upišite obje promjene u jedan tiket s dva zadužena, inače će biti završene u različitim sedmicama.

Koristite ID-ove zona dostupnosti kada je smještaj važan

Nazivi zona su aliasi lokalni za račun. us-east-1a na jednom računu nije zagarantovano ista fizička zona kao us-east-1a na drugom. Kada dizajn traži prilaganje i radno opterećenje u istoj zoni, uporedite AZ ID-ove i zabilježite ih.

Poređenje naziva daje dijagram koji izgleda ispravno i profil latencije koji nije. Provjerite to dok se dijagram još crta, a ne nakon što neko izmjeri razliku.

Ukidanje dijeljenja ne prekida putanju podataka

Uklanjanje dijeljenja osjeća se kao opoziv, a nije trenutno zaustavljanje saobraćaja. AWS dokumentuje da prilaganje ostaje funkcionalno kada gateway bude isključen iz dijeljenja. Dozvola za upravljanje resursom nestaje, dok postojeće prilaganje nastavlja prosljeđivati dok ga neko ne izbriše ili onemogući. Planirajte opoziv u dva koraka: uklonite dijeljenje, zatim prilaganje, pri čemu drugi korak izvodi vlasnik.

Ako je dijeljenje vaša jedina kontrola, nemate kontrolu.

Držite zapis o dijeljenju i zapis o rutiranju zajedno

Dva artefakta odgovaraju na dva različita pitanja. Zapis o dijeljenju kaže ko smije raditi s resursom. Tabele ruta kažu koje mreže zapravo mogu razgovarati. Čuvajte ih zajedno s istim spiskom vlasnika, inače sljedeći incident počinje s nekim ko dokazuje dozvolu koja nikada nije bila problem.

Zatim testirajte jedan tok u svakom smjeru i jedan prefiks koji treba ostati nedostupan.