Transit Gateway bersama: siapa yang memiliki rute di AWS RAM
Berbagi melalui RAM memungkinkan akun lain melampirkan VPC, tetapi tabel rute, asosiasi, dan propagasi tetap pada pemilik gateway. Inilah batasnya.
Membagikan Transit Gateway dengan Resource Access Manager melakukan satu hal spesifik: memungkinkan akun lain memanggil sekumpulan API lampiran yang ditentukan terhadap sumber daya yang tidak dimilikinya. Ini tidak memindahkan gateway, tabel rutnya, atau hak untuk memutuskan bagaimana lalu lintas diteruskan. Orang menganggap sebaliknya karena lampiran muncul di konsol penerima dan langsung berfungsi, yang terasa seperti kepemilikan. Mekanisme di baliknya adalah pemberian izin pada sumber daya bersama, dan setiap objek anak tetap berada di dalam batas akun pemilik. Pemisahan itu menjelaskan sebagian besar tiket akses ditolak seputar transit bersama.
Apa yang sebenarnya didelegasikan oleh berbagi
Berbagi sumber daya menamai sumber daya, principal, dan izin terkelola. Izin mencantumkan tindakan yang boleh dilakukan principal itu, dan untuk Transit Gateway daftar itu mencakup operasi lampiran pada sumber daya bersama.
Apa pun di luar daftar gagal di API, bukan di konsol, itulah sebabnya kesalahan sering muncul saat skrip pertama kali dijalankan.
Tabel rute, asosiasi, dan propagasi tetap pada pemilik
Penerusan ditentukan oleh tiga objek anak: tabel rute mana yang diatributkan dengan lampiran, ke tabel mana ia berpropagasi, dan rute apa yang dimuat tabel tersebut. Dokumentasi berbagi AWS menyatakan bahwa penerima tidak dapat membuat, mengubah, atau menghapus tabel rute gateway transit atau asosiasi dan propagasinya melalui berbagi. Panggilan itu milik akun pemilik. Penerima yang membutuhkan asosiasi baru sedang meminta perubahan administratif, bukan menggunakan izin yang lupa diaktifkannya.
Tabel di bawah adalah pembagian yang saya taruh di dokumen desain, karena bertahan terhadap pergantian staf.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Baca baris tengah dengan cermat: pemilik VPC mengontrol rute subnetnya, pemilik gateway mengontrol keputusan penerusan pusat, dan jalur yang berfungsi membutuhkan keduanya. Tidak ada akun yang dapat menyelesaikannya sendiri.
Satu jalur, dua akun
Lacak paket dari VPC spoke ke prefiks lokal. Tabel rute subnet spoke harus mengirim prefiks itu ke lampiran gateway transit, yang dapat diubah pemilik VPC. Gateway kemudian harus memiliki rute di tabel terkait lampiran yang menunjuk ke lampiran VPN, yang hanya dapat diubah pemilik. Lalu lintas balik membutuhkan cermin keduanya. Lewatkan salah satu sisi dan Anda mendapatkan jalur yang setengah terpasang dan tampak seperti masalah firewall.
Tulis kedua perubahan dalam satu tiket dengan dua penanggung jawab, atau keduanya akan selesai pada minggu berbeda.
Gunakan ID Zona Ketersediaan saat penempatan penting
Nama zona adalah alias lokal akun. us-east-1a di satu akun tidak dijamin merupakan zona fisik yang sama dengan us-east-1a di akun lain. Saat desain membutuhkan lampiran dan beban kerja di zona yang sama, bandingkan ID AZ dan catat.
Membandingkan nama menghasilkan diagram yang terlihat benar dan profil latensi yang tidak. Periksa saat diagram masih digambar, bukan setelah seseorang mengukur selisihnya.
Membatalkan berbagi tidak memutus jalur data
Menghapus berbagi terasa seperti pencabutan, dan itu bukan penghentian lalu lintas seketika. AWS mendokumentasikan bahwa lampiran tetap berfungsi saat gateway tidak lagi dibagikan. Izin mengelola sumber daya hilang, sementara lampiran yang sudah ada terus meneruskan sampai seseorang menghapus atau menonaktifkannya. Rencanakan pencabutan dalam dua langkah: hapus berbagi, lalu hapus lampiran, dengan pemilik melakukan yang kedua.
Jika berbagi adalah satu-satunya kontrol Anda, Anda tidak punya kontrol.
Simpan catatan berbagi dan catatan perutean bersama
Dua artefak menjawab dua pertanyaan berbeda. Catatan berbagi menyatakan siapa yang boleh bekerja dengan sumber daya. Tabel rute menyatakan jaringan mana yang benar-benar dapat berbicara. Simpan keduanya bersama dengan daftar pemilik yang sama, atau insiden berikutnya dimulai dengan seseorang membuktikan izin yang tidak pernah menjadi masalah.
Lalu uji satu alur di setiap arah dan satu prefiks yang harus tetap tidak terjangkau.