Jaettu Transit Gateway: kuka omistaa reitit AWS RAM:ssa
RAM-jakaminen antaa toisen tilin liittää VPC:n, mutta reititystaulut, liitokset ja levitykset jäävät yhdyskäytävän omistajalle. Tässä on raja.
Transit Gatewayn jakaminen Resource Access Managerin kautta tekee yhden tietyn asian: se sallii toisen tilin kutsua määritettyä liittämis-API-joukkoa resurssia vastaan, jota se ei omista. Se ei siirrä yhdyskäytävää, sen reititystauluja tai oikeutta päättää, miten liikennettä välitetään. Ihmiset olettavat päinvastaista, koska liitos ilmestyy vastaanottajan konsoliin ja toimii heti, mikä tuntuu omistajuudelta. Taustalla oleva mekanismi on käyttöoikeuden myöntäminen jaetulle resurssille, ja jokainen alaobjekti pysyy omistajan tilin rajan sisällä. Tämä ero selittää useimmat jaetun läpikulun ympärillä olevat käyttökiellon tiketit.
Mitä jakaminen todella delegoi
Resurssin jakaminen nimeää resurssin, päämiehen ja hallinnoidun käyttöoikeuden. Käyttöoikeus luettelee toiminnot, joita tämä päämies saa suorittaa, ja Transit Gatewayn osalta luettelo kattaa liittämistoiminnot jaetulla resurssilla.
Kaikki luettelon ulkopuolella epäonnistuu API:ssa eikä konsolissa, siksi virhe ilmestyy usein skriptin ensimmäisellä ajokerralla.
Reititystaulut, liitokset ja levitykset jäävät omistajalle
Välityksen päättävät kolme alaobjektia: mihin reititystauluun liitos on liitetty, mihin tauluihin se levittyy ja mitä reittejä nämä taulut sisältävät. AWS:n jakamisohjeisto toteaa, että vastaanottaja ei voi jakamisen kautta luoda, muuttaa tai poistaa transit-yhdyskäytävän reititystauluja tai niiden liitoksia ja levityksiä. Nämä kutsut kuuluvat omistajan tilille. Vastaanottaja, joka tarvitsee uuden liitoksen, pyytää hallinnollista muutosta eikä käytä käyttöoikeutta, jonka unohti ottaa käyttöön.
Alla oleva taulukko on jako, jonka laitan suunnitteludokumentteihin, koska se kestää henkilöstövaihdokset.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Lue keskimmäinen rivi huolellisesti: VPC:n omistaja hallitsee aliverkkonsa reittejä, yhdyskäytävän omistaja hallitsee keskeistä välityspäätöstä, ja toimiva polku tarvitsee molemmat. Kumpikaan tili ei voi suorittaa sitä yksin.
Yksi polku, kaksi tiliä
Seuraa pakettia spoke-VPC:stä paikalliseen etuliitteeseen. Spoke-aliverkon reititystaulun on lähetettävä tämä etuliite transit-yhdyskäytävän liitokselle, jonka VPC:n omistaja voi muuttaa. Sitten yhdyskäytävällä on oltava liitoksen liitetyssä taulussa reitti, joka osoittaa VPN-liitokseen, ja vain omistaja voi muuttaa sitä. Paluuliikenne tarvitsee molempien peilikuvan. Jos kumpi tahansa puoli puuttuu, saat puoliksi asennetun polun, joka näyttää palomuuriongelmalta.
Kirjoita molemmat muutokset yhteen tikettiin kahdella vastuuhenkilöllä, muuten ne valmistuvat eri viikkoina.
Käytä saatavuusvyöhykkeiden ID:itä, kun sijoittelu on tärkeää
Vyöhykkeiden nimet ovat tilin paikallisia aliaksia. us-east-1a yhdessä tilissä ei ole taattu samaksi fyysiseksi vyöhykkeeksi kuin us-east-1a toisessa. Kun suunnittelu vaatii liitoksen ja työkuorman samalle vyöhykkeelle, vertaa AZ-ID:itä ja kirjaa ne.
Nimien vertailu tuottaa kaavion, joka näyttää oikealta, ja latenssiprofiilin, joka ei ole. Tarkista se, kun kaaviota vielä piirretään, älä sen jälkeen kun joku on mitannut eron.
Jakamisen lopettaminen ei katkaise datapolkua
Jakamisen poistaminen tuntuu peruutukselta, eikä se ole välitön liikenteen pysäytys. AWS dokumentoi, että liitos pysyy toimivana, kun yhdyskäytävä poistetaan jaosta. Resurssin hallintaoikeus katoaa, kun taas olemassa oleva liitos jatkaa välittämistä, kunnes joku poistaa tai poistaa sen käytöstä. Suunnittele peruutus kahdessa vaiheessa: poista jakaminen ja sitten liitos, ja omistaja tekee toisen.
Jos jakaminen on ainoa hallintakeinosi, sinulla ei ole hallintakeinoa.
Pidä jakamistietue ja reititystietue yhdessä
Kaksi artefaktia vastaa kahteen eri kysymykseen. Jakamistietue kertoo, kuka saa työskennellä resurssin kanssa. Reititystaulut kertovat, mitkä verkot voivat todella puhua. Säilytä ne yhdessä saman omistajaluettelon kanssa, muuten seuraava tapaus alkaa siitä, että joku todistaa käyttöoikeutta, joka ei koskaan ollut ongelma.
Testaa sitten yksi virtaus kumpaankin suuntaan ja yksi etuliite, jonka pitäisi jäädä saavuttamattomaksi.