Jagatud Transit Gateway: kellele kuuluvad marsruudid AWS RAM-is
RAM-i jagamine lubab teisel kontol VPC külge kinnitada, kuid marsruutabelid, seosed ja levitused jäävad lüüsi omanikule. Siin on piir.
Transit Gateway jagamine Resource Access Manageri kaudu teeb ühte konkreetset asja: see lubab teisel kontol kutsuda kindlaksmääratud kinnitamise API-de komplekti ressursi vastu, mida see ei oma. See ei vii üle lüüsi, selle marsruutabeleid ega õigust otsustada, kuidas liiklust edasi suunatakse. Inimesed eeldavad vastupidist, sest kinnitus ilmub vastuvõtja konsooli ja töötab kohe, mis tundub omandina. Selle all olev mehhanism on õiguse andmine jagatud ressursile ja iga alamsõlm jääb omaniku konto piiridesse. See eraldatus selgitab enamikku juurdepääsu keelamise piletitest jagatud läbilaske ümber.
Mida jagamine tegelikult delegeerib
Ressursi jagamine nimetab ressursi, põhiisiku ja hallatava õiguse. Õigus loetleb toimingud, mida see põhiisik tohib teha, ja Transit Gateway puhul hõlmab see loend jagatud ressursi kinnitamistoiminguid.
Kõik väljaspool loendit ebaõnnestub API-s, mitte konsoolis, seepärast ilmub viga sageli skripti esimesel käivitamisel.
Marsruutabelid, seosed ja levitused jäävad omanikule
Edasisuunamise otsustavad kolm alamsõlme: millise marsruutabeliga on kinnitus seotud, millistesse tabelitesse see levib ja milliseid marsruute need tabelid sisaldavad. AWS-i jagamisdokumentatsioon märgib, et vastuvõtja ei saa jagamise kaudu transiitlüüsi marsruutabeleid ega nende seoseid ja levitusi luua, muuta ega kustutada. Need kutsed kuuluvad omaniku kontole. Vastuvõtja, kes vajab uut seost, taotleb haldusmuudatust, mitte ei kasuta õigust, mille lubamise ta unustas.
Allolev tabel on jaotus, mille panen projekteerimisdokumentidesse, sest see peab vastu personalimuutustele.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Lugege keskmist rida hoolikalt: VPC omanik juhib oma alavõrgu marsruute, lüüsi omanik juhib keskset edasisuunamisotsust, ja töötav tee vajab mõlemat. Kumbki konto ei suuda seda üksi lõpule viia.
Üks tee, kaks kontot
Jälgige paketti spoke-VPC-st kohaliku prefiksini. Spoke'i alavõrgu marsruutabel peab selle prefiksi saatma transiitlüüsi kinnitusele, mida VPC omanik saab muuta. Seejärel peab lüüsil olema kinnituse seotud tabelis marsruut, mis osutab VPN-kinnitusele, ja seda saab muuta ainult omanik. Tagasiliiklus vajab mõlema peeglit. Kui ükskõik kumb pool puudub, saate pooleldi paigaldatud tee, mis näeb välja nagu tulemüüri probleem.
Kirjutage mõlemad muudatused ühte piletisse kahe vastutajaga, muidu valmivad need erinevatel nädalatel.
Kasutage kättesaadavustsooni ID-sid, kui paigutus on oluline
Tsooninimed on konto kohalikud aliased. us-east-1a ühes kontos ei ole garanteeritud sama füüsiline tsoon kui us-east-1a teises. Kui projekt vajab kinnitust ja töökoormust samas tsoonis, võrrelge AZ ID-sid ja kirjutage need üles.
Nimede võrdlemine annab diagrammi, mis näeb õige välja, ja latentsusprofiili, mis ei ole. Kontrollige seda siis, kui diagrammi alles joonistatakse, mitte pärast seda, kui keegi erinevuse mõõtis.
Jagamise lõpetamine ei katkesta andmete teed
Jagamise eemaldamine tundub tühistamisena ja see ei ole kohene liikluse peatamine. AWS dokumenteerib, et kinnitus jääb toimivaks, kui lüüs jagamisest välja arvatakse. Ressursi haldamise õigus kaob, samal ajal kui olemasolev kinnitus jätkab edasisuunamist, kuni keegi selle kustutab või keelab. Planeerige tühistamine kahes etapis: eemaldage jagamine, seejärel kinnitus, kusjuures teise teeb omanik.
Kui jagamine on teie ainus kontroll, siis teil pole kontrolli.
Hoidke jagamiskirje ja marsruutimiskirje koos
Kaks artefakti vastavad kahele erinevale küsimusele. Jagamiskirje ütleb, kes tohib ressursiga töötada. Marsruutabelid ütlevad, millised võrgud saavad tegelikult rääkida. Hoidke neid koos sama omanikuloendiga, muidu algab järgmine juhtum sellega, et keegi tõestab õigust, mis ei olnud kunagi probleem.
Seejärel testige ühte voogu kummaski suunas ja ühte prefiksit, mis peaks jääma kättesaamatuks.