Ով է տիրում AWS RAM-ի երթուղիներին համօգտագործվող Transit Gateway-ում
RAM-ով համօգտագործումը թույլ է տալիս այլ հաշվին կցել VPC, բայց երթուղային աղյուսակները, միավորումները և տարածումները մնում են դարպասի սեփականատիրոջ մոտ։ Ահա սահմանը։
Transit Gateway-ը Resource Access Manager-ով համօգտագործելը մեկ կոնկրետ բան է անում՝ թույլ է տալիս այլ հաշվին կանչել կցման API-ների սահմանված հավաքածու մի ռեսուրսի դեմ, որը նա չի տիրում։ Այն չի փոխանցում դարպասը, նրա երթուղային աղյուսակները կամ երթևեկության ուղղորդման որոշման իրավունքը։ Մարդիկ հակառակն են ենթադրում, որովհետև կցումը հայտնվում է ստացողի կոնսոլում և անմիջապես աշխատում, ինչը սեփականության զգացում է տալիս։ Հիմքում ընկած մեխանիզմը համօգտագործվող ռեսուրսի վրա թույլտվության տրամադրումն է, և յուրաքանչյուր զավակ օբյեկտ մնում է սեփականատիրոջ հաշվի սահմաններում։ Այդ բաժանումը բացատրում է համօգտագործվող տարանցման շուրջ մերժված հասանելիության տոմսերի մեծ մասը։
Ինչ է իրականում պատվիրակում համօգտագործումը
Ռեսուրսի համօգտագործումը նշում է ռեսուրս, հիմնական սուբյեկտ և կառավարվող թույլտվություն։ Թույլտվությունը թվարկում է այն գործողությունները, որոնք այդ սուբյեկտը կարող է կատարել, և Transit Gateway-ի համար այդ ցանկը ներառում է կցման գործողությունները համօգտագործվող ռեսուրսի վրա։
Ցանկից դուրս ամեն ինչ ձախողվում է API-ում, ոչ թե կոնսոլում, դրա համար էլ սխալը հաճախ հայտնվում է սկրիպտի առաջին գործարկման ժամանակ։
Երթուղային աղյուսակները, միավորումները և տարածումները մնում են սեփականատիրոջը
Փոխանցումը որոշում են երեք զավակ օբյեկտներ՝ թե որ երթուղային աղյուսակին է միացված կցումը, թե որ աղյուսակների մեջ է այն տարածվում, և թե ինչ երթուղիներ են պարունակում այդ աղյուսակները։ AWS-ի համօգտագործման փաստաթղթերը նշում են, որ ստացողը համօգտագործման միջոցով չի կարող ստեղծել, փոփոխել կամ ջնջել տարանցման դարպասի երթուղային աղյուսակները կամ դրանց միավորումներն ու տարածումները։ Այդ կանչերը պատկանում են սեփականատիրոջ հաշվին։ Ստացողը, որը նոր միավորում է ուզում, վարչական փոփոխություն է խնդրում, ոչ թե օգտագործում է թույլտվություն, որի միացումը մոռացել է։
Ստորև բերված աղյուսակը այն բաժանումն է, որը ես դնում եմ նախագծային փաստաթղթերում, որովհետև այն դիմանում է անձնակազմի փոփոխություններին։
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Ուշադիր կարդացեք միջին տողը՝ VPC-ի սեփականատերը կառավարում է իր ենթացանցի երթուղիները, դարպասի սեփականատերը կառավարում է կենտրոնական փոխանցման որոշումը, և աշխատող ուղին երկուսն էլ պահանջում է։ Երկու հաշիվներից ոչ մեկը չի կարող այն ավարտել միայնակ։
Մեկ ուղի, երկու հաշիվ
Հետևեք փաթեթին spoke VPC-ից մինչև տեղական նախածանց։ Spoke ենթացանցի երթուղային աղյուսակը պետք է այդ նախածանցն ուղարկի տարանցման դարպասի կցմանը, ինչը VPC-ի սեփականատերը կարող է փոխել։ Այնուհետև դարպասը պետք է կցման միացված աղյուսակում ունենա երթուղի, որը ցույց է տալիս VPN կցմանը, և դա միայն սեփականատերը կարող է փոխել։ Վերադարձի երթևեկությունը երկուսի հայելին է պահանջում։ Բաց թողեք ցանկացած կողմ և կստանաք կիսով տեղադրված ուղի, որը նման է հրե պաշտպանի խնդրի։
Երկու փոփոխություններն էլ գրեք մեկ տոմսում երկու պատասխանատուով, այլապես դրանք կավարտվեն տարբեր շաբաթներին։
Օգտագործեք հասանելիության գոտու ID-ներ, երբ տեղադրությունը կարևոր է
Գոտու անունները հաշվի տեղական կեղծանուններ են։ us-east-1a-ը մեկ հաշվում երաշխավորված չէ նույն ֆիզիկական գոտին լինել, ինչ us-east-1a-ը մյուսում։ Երբ նախագիծը պահանջում է կցում և աշխատանքային բեռ նույն գոտում, համեմատեք AZ ID-ները և գրանցեք դրանք։
Անունների համեմատությունը տալիս է դիագրամ, որը ճիշտ է թվում, և հետաձգման պրոֆիլ, որը այդպիսին չէ։ Ստուգեք դա, քանի դեռ դիագրամը նկարվում է, ոչ թե այն բանից հետո, երբ ինչ-որ մեկը չափել է տարբերությունը։
Համօգտագործման չեղարկումը չի կտրում տվյալների ուղին
Համօգտագործումը հեռացնելը հետկանչի է նման, և դա երթևեկության ակնթարթային կանգ չէ։ AWS-ը փաստագրում է, որ կցումը մնում է գործունակ, երբ դարպասը դուրս է գալիս համօգտագործումից։ Ռեսուրսը կառավարելու թույլտվությունը անհետանում է, մինչ արդեն գոյություն ունեցող կցումը շարունակում է փոխանցել, քանի դեռ ինչ-որ մեկը չի ջնջել կամ անջատել այն։ Պլանավորեք հետկանչը երկու քայլով՝ հեռացրեք համօգտագործումը, ապա կցումը, ընդ որում երկրորդը կատարում է սեփականատերը։
Եթե համօգտագործումը ձեր միակ վերահսկողությունն է, դուք վերահսկողություն չունեք։
Պահեք համօգտագործման գրառումը և երթուղավորման գրառումը միասին
Երկու արտեֆակտ պատասխանում է երկու տարբեր հարցի։ Համօգտագործման գրառումը ասում է, թե ով կարող է աշխատել ռեսուրսի հետ։ Երթուղային աղյուսակները ասում են, թե որ ցանցերը կարող են իրականում խոսել։ Պահեք դրանք միասին նույն սեփականատերերի ցանկով, այլապես հաջորդ միջադեպը կսկսվի նրանով, որ ինչ-որ մեկը ապացուցում է թույլտվություն, որը երբեք խնդիրը չի եղել։
Այնուհետև փորձարկեք մեկ հոսք յուրաքանչյուր ուղղությամբ և մեկ նախածանց, որը պետք է մնա անհասանելի։