Transit Gateway compartit: qui posseeix les rutes a AWS RAM

Compartir una Transit Gateway amb Resource Access Manager fa una cosa concreta: permet que un altre compte cridi un conjunt definit d’API d’adjunció contra un recurs que no posseeix. No transfereix la passarel·la, les seves taules de rutes ni el dret de decidir com s’encamina el trànsit. La gent assumeix el contrari perquè l’adjunció apareix a la consola del destinatari i funciona immediatament, cosa que sembla propietat. El mecanisme subjacent és una concessió de permís sobre un recurs compartit, i cada objecte fill es queda dins del límit del compte del propietari. Aquesta separació explica la majoria de tiquets d’accés denegat al voltant del trànsit compartit.

Què delega realment la compartició

Una compartició de recurs nomena un recurs, un principal i un permís gestionat. El permís llista les accions que aquest principal pot fer, i per a una Transit Gateway aquesta llista cobreix les operacions d’adjunció sobre el recurs compartit.

Qualsevol cosa fora de la llista falla a l’API i no a la consola, per això l’error sovint apareix la primera vegada que s’executa un script.

Les taules de rutes, les associacions i les propagacions es queden amb el propietari

L’encaminament el decideixen tres objectes fills: amb quina taula de rutes s’associa una adjunció, a quines taules es propaga i quines rutes contenen aquestes taules. La documentació de compartició d’AWS indica que un destinatari no pot crear, modificar ni suprimir taules de rutes de la passarel·la de trànsit ni les seves associacions i propagacions mitjançant la compartició. Aquestes crides pertanyen al compte propietari. Un destinatari que necessita una associació nova està demanant un canvi administratiu, no exercint un permís que va oblidar activar.

La taula de sota és la separació que poso als documents de disseny, perquè sobreviu als canvis de personal.

Llegeix la fila del mig amb atenció: el propietari de la VPC controla les rutes de la seva subxarxa, el propietari de la passarel·la controla la decisió central d’encaminament, i un camí funcional necessita les dues coses. Cap dels dos comptes no ho pot completar sol.

Un camí, dos comptes

Segueix un paquet des d’una VPC spoke fins a un prefix local. La taula de rutes de la subxarxa spoke ha d’enviar aquest prefix a l’adjunció de la passarel·la de trànsit, cosa que el propietari de la VPC pot canviar. Després la passarel·la ha de tenir una ruta a la taula associada de l’adjunció que apunti a l’adjunció VPN, cosa que només el propietari pot canviar. El trànsit de tornada necessita el mirall de les dues. Si falla qualsevol dels dos costats, obtens un camí mig instal·lat que sembla un problema de tallafocs.

Escriu tots dos canvis en un sol tiquet amb dos assignats, o s’acabaran en setmanes diferents.

Utilitza els ID de zona de disponibilitat quan la ubicació importa

Els noms de zona són àlies locals del compte. us-east-1a en un compte no té garantit ser la mateixa zona física que us-east-1a en un altre. Quan el disseny necessita una adjunció i una càrrega de treball a la mateixa zona, compara els ID d’AZ i anota’ls.

Comparar noms produeix un diagrama que sembla correcte i un perfil de latència que no ho és. Comprova-ho mentre el diagrama encara s’està dibuixant, no després que algú mesuri la diferència.

Deixar de compartir no talla el camí de les dades

Treure la compartició sembla una revocació, i no és una aturada immediata del trànsit. AWS documenta que una adjunció continua funcionant quan la passarel·la deixa d’estar compartida. El permís per gestionar el recurs desapareix, mentre que l’adjunció existent continua encaminant fins que algú la suprimeixi o la desactivi. Planifica la revocació en dos passos: treu la compartició i després treu l’adjunció, amb el propietari fent el segon.

Si la compartició és el teu únic control, no tens cap control.

Mantén el registre de compartició i el registre d’encaminament junts

Dos artefactes responen dues preguntes diferents. El registre de compartició diu qui pot treballar amb el recurs. Les taules de rutes diuen quines xarxes poden parlar realment. Guarda’ls junts amb la mateixa llista de propietaris, o el proper incident començarà amb algú provant un permís que mai no era el problema.

Després prova un flux en cada direcció i un prefix que hauria de quedar inabastable.