Transit Gateway a rennir: pwy sy'n berchen ar y llwybrau yn AWS RAM
Mae rhannu drwy RAM yn gadael i gyfrif arall atodi VPC, ond mae tablau llwybrau, cysylltiadau ac ymlediadau yn aros gyda pherchennog y giât. Dyma'r ffin.
Mae rhannu Transit Gateway gyda Resource Access Manager yn gwneud un peth penodol: mae'n gadael i gyfrif arall alw set benodol o API atodi yn erbyn adnodd nad yw'n berchen arno. Nid yw'n trosglwyddo'r giât, ei thablau llwybrau na'r hawl i benderfynu sut mae traffig yn cael ei anfon ymlaen. Mae pobl yn tybio fel arall oherwydd bod yr atodiad yn ymddangos yng nghonsol y derbynnydd ac yn gweithio ar unwaith, sy'n teimlo fel perchnogaeth. Y mecanwaith oddi tano yw grant caniatâd ar adnodd a rennir, ac mae pob gwrthrych plentyn yn aros o fewn ffin cyfrif y perchennog. Mae'r rhaniad hwnnw'n esbonio'r rhan fwyaf o docynnau mynediad a wrthodwyd o amgylch y trawsniant a rennir.
Beth mae'r rhannu'n ei ddirprwyo mewn gwirionedd
Mae rhannu adnodd yn enwi adnodd, prifod a chaniatâd a reolir. Mae'r caniatâd yn rhestru'r gweithredoedd y caiff y prifod hwnnw eu gwneud, ac ar gyfer Transit Gateway mae'r rhestr honno'n cwmpasu gweithrediadau atodi ar yr adnodd a rennir.
Mae unrhyw beth y tu allan i'r rhestr yn methu yn yr API yn hytrach nag yn y consol, a dyna pam mae'r gwall yn aml yn ymddangos y tro cyntaf i sgript redeg.
Mae tablau llwybrau, cysylltiadau ac ymlediadau yn aros gyda'r perchennog
Mae anfon ymlaen yn cael ei benderfynu gan dri gwrthrych plentyn: pa dabl llwybrau y mae atodiad wedi'i gysylltu ag ef, pa dablau y mae'n ymledu iddynt, a pha lwybrau y mae'r tablau hynny'n eu dal. Mae dogfennaeth rannu AWS yn nodi na all derbynnydd greu, addasu na dileu tablau llwybrau'r giât drawsniant na'u cysylltiadau a'u hymlediadau drwy'r rhannu. Mae'r galwadau hynny'n perthyn i gyfrif y perchennog. Mae derbynnydd sydd angen cysylltiad newydd yn gofyn am newid gweinyddol, nid yn arfer caniatâd y gwnaeth anghofio ei alluogi.
Y tabl isod yw'r rhaniad rwy'n ei roi mewn dogfennau dylunio, oherwydd ei fod yn goroesi newidiadau staff.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Darllenwch y rhes ganol yn ofalus: mae perchennog y VPC yn rheoli llwybrau ei is-rwydwaith, mae perchennog y giât yn rheoli'r penderfyniad anfon ymlaen canolog, ac mae angen y ddau ar lwybr sy'n gweithio. Ni all y naill gyfrif na'r llall ei gwblhau ar ei ben ei hun.
Un llwybr, dau gyfrif
Olrheiniwch becyn o VPC spoke i ragddodiad lleol. Rhaid i dabl llwybrau is-rwydwaith y spoke anfon y rhagddodiad hwnnw i atodiad y giât drawsniant, y gall perchennog y VPC ei newid. Yna rhaid i'r giât fod â llwybr yn nhabl gysylltiedig yr atodiad sy'n pwyntio at atodiad VPN, a dim ond y perchennog all newid hynny. Mae angen drych y ddau ar draffig dychwelyd. Os collwch y naill ochr neu'r llall, cewch lwybr sydd wedi'i osod yn hanner ac sy'n edrych fel problem mur cadarn.
Ysgrifennwch y ddau newid mewn un tocyn gyda dau berson cyfrifol, neu byddant yn cael eu gorffen mewn wythnosau gwahanol.
Defnyddiwch IDau parthau argaeledd pan fo lleoliad yn bwysig
Mae enwau parthau yn aliasau lleol i'r cyfrif. Nid yw us-east-1a mewn un cyfrif yn sicr o fod yr un parth corfforol â us-east-1a mewn cyfrif arall. Pan fo'r dyluniad angen atodiad a llwyth gwaith yn yr un parth, cymharwch IDau AZ a'u cofnodi.
Mae cymharu enwau'n cynhyrchu diagram sy'n edrych yn iawn a phroffil hwyrni nad yw'n iawn. Gwiriwch hynny tra bo'r diagram yn cael ei lunio o hyd, nid ar ôl i rywun fesur y gwahaniaeth.
Nid yw dad-rannu'n torri'r llwybr data
Mae tynnu'r rhannu'n teimlo fel dirymiad, ac nid yw'n stopio traffig ar unwaith. Mae AWS yn dogfennu bod atodiad yn parhau i weithio pan fydd y giât yn cael ei dad-rannu. Mae'r caniatâd i reoli'r adnodd yn diflannu, tra bod yr atodiad sydd eisoes yn bodoli'n parhau i anfon ymlaen nes bod rhywun yn ei ddileu neu'n ei analluogi. Cynlluniwch ddirymiad fel dau gam: tynnwch y rhannu, yna tynnwch yr atodiad, a'r perchennog yn gwneud yr ail.
Os mai'r rhannu yw eich unig reolaeth, nid oes gennych reolaeth.
Cadwch y cofnod rhannu a'r cofnod llwybro gyda'i gilydd
Mae dau arteffact yn ateb dau gwestiwn gwahanol. Mae'r cofnod rhannu'n dweud pwy a gaiff weithio gyda'r adnodd. Mae'r tablau llwybrau'n dweud pa rwydweithiau all siarad mewn gwirionedd. Storiwch nhw gyda'r un rhestr perchenogion, neu bydd y digwyddiad nesaf yn dechrau gyda rhywun yn profi caniatâd nad oedd byth yn broblem.
Yna profwch un llif i bob cyfeiriad ac un rhagddodiad a ddylai aros yn anghyraeddadwy.