Megosztott Transit Gateway: ki birtokolja az útvonalakat az AWS RAM-ban
A RAM-megosztás lehetővé teszi, hogy egy másik fiók VPC-t csatoljon, de az útvonaltáblák, a társítások és a propagálások a gateway tulajdonosánál maradnak. Itt a határ.
A Transit Gateway Resource Access Managerrel való megosztása egy konkrét dolgot tesz: lehetővé teszi egy másik fióknak, hogy egy meghatározott csatolási API-készletet hívjon meg egy olyan erőforráson, amely nem az övé. Nem ruházza át a gatewayt, annak útvonaltábláit vagy a forgalom továbbításáról szóló döntés jogát. Az emberek az ellenkezőjét feltételezik, mert a csatolás megjelenik a fogadó konzolján és azonnal működik, ami tulajdonlásnak tűnik. A mögöttes mechanizmus engedélyadás egy megosztott erőforráson, és minden gyermekobjektum a tulajdonos fiók határán belül marad. Ez a felosztás magyarázza a megosztott tranzittal kapcsolatos hozzáférés-megtagadási jegyek többségét.
Mit delegál valójában a megosztás
Az erőforrás-megosztás megnevez egy erőforrást, egy principált és egy felügyelt engedélyt. Az engedély felsorolja azokat a műveleteket, amelyeket ez a principál végrehajthat, és egy Transit Gateway esetében ez a lista a megosztott erőforráson végzett csatolási műveleteket fedi le.
A listán kívül minden az API-nál hiúsul meg, nem a konzolnál, ezért a hiba gyakran a szkript első futtatásakor jelenik meg.
Az útvonaltáblák, a társítások és a propagálások a tulajdonosnál maradnak
A továbbítást három gyermekobjektum dönti el: melyik útvonaltáblához van társítva egy csatolás, mely táblákba propagál, és milyen útvonalakat tartalmaznak ezek a táblák. Az AWS megosztási dokumentációja kimondja, hogy a fogadó a megosztáson keresztül nem hozhat létre, módosíthat vagy törölhet tranzit-gateway útvonaltáblákat, sem azok társításait és propagálásait. Ezek a hívások a tulajdonos fiókhoz tartoznak. A fogadó, amelynek új társításra van szüksége, adminisztratív változást kér, nem egy olyan engedélyt gyakorol, amelyet elfelejtett engedélyezni.
Az alábbi táblázat az a felosztás, amelyet a tervezési dokumentumokba teszek, mert túléli a személyzeti változásokat.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Olvassa el figyelmesen a középső sort: a VPC tulajdonosa az alhálózati útvonalait irányítja, a gateway tulajdonosa a központi továbbítási döntést irányítja, és egy működő útvonalhoz mindkettő kell. Egyik fiók sem tudja egyedül befejezni.
Egy útvonal, két fiók
Kövessen egy csomagot egy spoke VPC-től egy helyi előtagig. A spoke alhálózati útvonaltáblájának el kell küldenie ezt az előtagot a tranzit-gateway csatoláshoz, amit a VPC tulajdonosa módosíthat. Ezután a gatewaynek a csatolás társított táblájában olyan útvonalnak kell lennie, amely a VPN-csatolásra mutat, és ezt csak a tulajdonos módosíthatja. A visszatérő forgalomhoz mindkettő tükörképe kell. Ha bármelyik oldal hiányzik, félig telepített útvonalat kap, amely tűzfalon-problémának tűnik.
Írja mindkét változtatást egy jegybe két felelőssel, különben különböző heteken készülnek el.
Használjon Availability Zone ID-ket, amikor az elhelyezés számít
A zónanevek fiókhoz helyi álnevek. us-east-1a az egyik fiókban nem garantáltan ugyanaz a fizikai zóna, mint us-east-1a egy másikban. Amikor a tervezés csatolást és munkaterhelést kíván ugyanabban a zónában, hasonlítsa össze az AZ ID-ket, és jegyezze fel őket.
A nevek összehasonlítása olyan diagramot ad, amely helyesnek tűnik, és olyan késleltetési profilt, amely nem az. Ellenőrizze ezt még a diagram rajzolása közben, ne azután, hogy valaki megmérte a különbséget.
A megosztás megszüntetése nem vágja el az adatútvonalat
A megosztás eltávolítása visszavonásnak tűnik, és nem azonnali forgalomstop. Az AWS dokumentálja, hogy a csatolás működőképes marad, amikor a gateway kikerül a megosztásból. Az erőforrás kezelésére vonatkozó engedély eltűnik, miközben a meglévő csatolás továbbít, amíg valaki törli vagy letiltja. Tervezze a visszavonást két lépésben: távolítsa el a megosztást, majd a csatolást, és a másodikat a tulajdonos végezze.
Ha a megosztás az egyetlen kontrollja, nincs kontrollja.
Tartsa együtt a megosztási rekordot és az útvonalrekordot
Két artefaktum két különböző kérdésre válaszol. A megosztási rekord megmondja, ki dolgozhat az erőforrással. Az útvonaltáblák megmondják, mely hálózatok tudnak valóban beszélni. Tárolja őket együtt ugyanazzal a tulajdonoslistával, különben a következő incidens azzal kezdődik, hogy valaki egy olyan engedélyt bizonyít, amely soha nem volt a probléma.
Ezután teszteljen egy folyamot mindkét irányban és egy előtagot, amelynek elérhetetlennek kell maradnia.