Κοινόχρηστο Transit Gateway: ποιος κατέχει τις διαδρομές στο AWS RAM

Ο διαμοιρασμός ενός Transit Gateway με το Resource Access Manager κάνει ένα συγκεκριμένο πράγμα: επιτρέπει σε άλλον λογαριασμό να καλέσει ένα καθορισμένο σύνολο API προσάρτησης σε έναν πόρο που δεν κατέχει. Δεν μεταβιβάζει την πύλη, τους πίνακες διαδρομών της ή το δικαίωμα να αποφασίζεται πώς προωθείται η κίνηση. Οι άνθρωποι υποθέτουν το αντίθετο επειδή η προσάρτηση εμφανίζεται στην κονσόλα του παραλήπτη και λειτουργεί αμέσως, κάτι που μοιάζει με ιδιοκτησία. Ο μηχανισμός από κάτω είναι μια παραχώρηση άδειας σε κοινόχρηστο πόρο, και κάθε θυγατρικό αντικείμενο παραμένει μέσα στα όρια του λογαριασμού του ιδιοκτήτη. Αυτός ο διαχωρισμός εξηγεί τα περισσότερα δελτία άρνησης πρόσβασης γύρω από την κοινόχρηστη διέλευση.

Τι αναθέτει πραγματικά ο διαμοιρασμός

Ένας διαμοιρασμός πόρου ονομάζει έναν πόρο, μια αρχή και μια διαχειριζόμενη άδεια. Η άδεια απαριθμεί τις ενέργειες που μπορεί να εκτελέσει αυτή η αρχή, και για ένα Transit Gateway η λίστα καλύπτει εργασίες προσάρτησης στον κοινόχρηστο πόρο.

Οτιδήποτε έξω από τη λίστα αποτυγχάνει στο API και όχι στην κονσόλα, γι' αυτό το σφάλμα εμφανίζεται συχνά την πρώτη φορά που εκτελείται ένα σενάριο.

Οι πίνακες διαδρομών, οι συσχετίσεις και οι διαδόσεις μένουν στον ιδιοκτήτη

Η προώθηση καθορίζεται από τρία θυγατρικά αντικείμενα: με ποιον πίνακα διαδρομών συσχετίζεται μια προσάρτηση, σε ποιους πίνακες διαδίδεται και ποιες διαδρομές κρατούν αυτοί οι πίνακες. Η τεκμηρίωση διαμοιρασμού της AWS αναφέρει ότι ένας παραλήπτης δεν μπορεί να δημιουργήσει, να τροποποιήσει ή να διαγράψει πίνακες διαδρομών της πύλης διέλευσης ούτε τις συσχετίσεις και διαδόσεις τους μέσω του διαμοιρασμού. Αυτές οι κλήσεις ανήκουν στον λογαριασμό του ιδιοκτήτη. Ένας παραλήπτης που χρειάζεται νέα συσχέτιση ζητά διοικητική αλλαγή και δεν ασκεί άδεια που ξέχασε να ενεργοποιήσει.

Ο παρακάτω πίνακας είναι ο διαχωρισμός που βάζω στα έγγραφα σχεδιασμού, επειδή αντέχει στις αλλαγές προσωπικού.

Διαβάστε προσεκτικά τη μεσαία γραμμή: ο ιδιοκτήτης του VPC ελέγχει τις διαδρομές του υποδικτύου του, ο ιδιοκτήτης της πύλης ελέγχει την κεντρική απόφαση προώθησης, και μια λειτουργική διαδρομή χρειάζεται και τα δύο. Κανένας από τους δύο λογαριασμούς δεν μπορεί να το ολοκληρώσει μόνος.

Μία διαδρομή, δύο λογαριασμοί

Ακολουθήστε ένα πακέτο από ένα spoke VPC σε ένα τοπικό πρόθεμα. Ο πίνακας διαδρομών του υποδικτύου spoke πρέπει να στείλει αυτό το πρόθεμα στην προσάρτηση του Transit Gateway, το οποίο μπορεί να αλλάξει ο ιδιοκτήτης του VPC. Στη συνέχεια η πύλη πρέπει να έχει στον συσχετισμένο πίνακα της προσάρτησης μια διαδρομή που δείχνει στην προσάρτηση VPN, και μόνο ο ιδιοκτήτης μπορεί να το αλλάξει. Η κίνηση επιστροφής χρειάζεται τον καθρέφτη και των δύο. Αν χάσετε οποιαδήποτε πλευρά, παίρνετε μια διαδρομή μισοεγκατεστημένη που μοιάζει με πρόβλημα τείχους προστασίας.

Γράψτε και τις δύο αλλαγές σε ένα δελτίο με δύο υπεύθυνους, αλλιώς θα ολοκληρωθούν σε διαφορετικές εβδομάδες.

Χρησιμοποιήστε ID ζωνών διαθεσιμότητας όταν η τοποθέτηση έχει σημασία

Τα ονόματα ζωνών είναι τοπικά ψευδώνυμα του λογαριασμού. us-east-1a σε έναν λογαριασμό δεν είναι εγγυημένο ότι είναι η ίδια φυσική ζώνη με το us-east-1a σε άλλον. Όταν ο σχεδιασμός απαιτεί προσάρτηση και φόρτο εργασίας στην ίδια ζώνη, συγκρίνετε τα ID AZ και καταγράψτε τα.

Η σύγκριση ονομάτων παράγει ένα διάγραμμα που φαίνεται σωστό και ένα προφίλ καθυστέρησης που δεν είναι. Ελέγξτε το όσο το διάγραμμα σχεδιάζεται ακόμη, όχι αφού κάποιος μετρήσει τη διαφορά.

Η άρση του διαμοιρασμού δεν κόβει τη διαδρομή δεδομένων

Η αφαίρεση του διαμοιρασμού μοιάζει με ανάκληση, και δεν είναι άμεση διακοπή κίνησης. Η AWS τεκμηριώνει ότι μια προσάρτηση παραμένει λειτουργική όταν η πύλη πάψει να είναι κοινόχρηστη. Η άδεια διαχείρισης του πόρου εξαφανίζεται, ενώ η υπάρχουσα προσάρτηση συνεχίζει να προωθεί μέχρι κάποιος να τη διαγράψει ή να την απενεργοποιήσει. Σχεδιάστε την ανάκληση σε δύο βήματα: αφαιρέστε τον διαμοιρασμό και μετά την προσάρτηση, με τον ιδιοκτήτη να εκτελεί το δεύτερο.

Αν ο διαμοιρασμός είναι ο μόνος σας έλεγχος, δεν έχετε έλεγχο.

Κρατήστε το αρχείο διαμοιρασμού και το αρχείο δρομολόγησης μαζί

Δύο τεχνουργήματα απαντούν σε δύο διαφορετικές ερωτήσεις. Το αρχείο διαμοιρασμού λέει ποιος μπορεί να εργαστεί με τον πόρο. Οι πίνακες διαδρομών λένε ποια δίκτυα μπορούν πραγματικά να μιλήσουν. Αποθηκεύστε τα μαζί με την ίδια λίστα ιδιοκτητών, αλλιώς το επόμενο περιστατικό αρχίζει με κάποιον να αποδεικνύει μια άδεια που ποτέ δεν ήταν το πρόβλημα.

Έπειτα δοκιμάστε μία ροή σε κάθε κατεύθυνση και ένα πρόθεμα που πρέπει να μείνει μη προσβάσιμο.