Ортақ Transit Gateway: AWS RAM-дағы маршруттар кімге тиесілі
RAM арқылы бөлісу басқа аккаунтқа VPC қосуды рұқсат етеді, бірақ маршрут кестелері, байланыстар мен таралымдар шлюз иесінде қалады. Шекара осында.
Transit Gateway-ді Resource Access Manager арқылы бөлісу бір нақты нәрсені жасайды: басқа аккаунтқа өзіне тиесілі емес ресурсқа қарсы анықталған қосылым API жиынын шақыруға мүмкіндік береді. Ол шлюзді, оның маршрут кестелерін немесе трафиктің қалай жіберілетінін шешу құқығын бермейді. Адамдар керісінше ойлайды, өйткені қосылым алушының консолінде көрініп, бірден жұмыс істейді, бұл меншік сияқты сезіледі. Астындағы механизм ортақ ресурсқа рұқсат беру болып табылады, және әрбір еншілес нысан иесінің аккаунт шекарасында қалады. Осы бөліну ортақ транзит айналасындағы қатынаудан бас тарту билеттерінің көбін түсіндіреді.
Бөлісу шын мәнінде нені тапсырады
Ресурсты бөлісу ресурсты, принципалды және басқарылатын рұқсатты атайды. Рұқсат сол принципал орындай алатын әрекеттерді тізімдейді, ал Transit Gateway үшін бұл тізім ортақ ресурстағы қосылым операцияларын қамтиды.
Тізімнен тыс кез келген нәрсе консольде емес, API-да сәтсіз аяқталады, сондықтан қате скрипттің алғашқы іске қосылуында жиі көрінеді.
Маршрут кестелері, байланыстар мен таралымдар иесінде қалады
Жіберуді үш еншілес нысан анықтайды: қосылым қай маршрут кестесімен байланысқан, ол қай кестелерге таралады және сол кестелерде қандай маршруттар бар. AWS-тің бөлісу құжаттамасы алушының бөлісу арқылы транзиттік шлюздің маршрут кестелерін немесе олардың байланыстары мен таралымдарын жасай, өзгерте немесе жоя алмайтынын көрсетеді. Бұл шақырулар иесінің аккаунтына тиесілі. Жаңа байланыс қажет алушы әкімшілік өзгеріс сұрайды, қосуды ұмытып кеткен рұқсатты пайдаланбайды.
Төмендегі кесте — дизайн құжаттарына қоятын бөліну, өйткені ол қызметкерлер ауысқанда да сақталады.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Ортаңғы жолды мұқият оқыңыз: VPC иесі өз ішкі желісінің маршруттарын басқарады, шлюз иесі орталық жіберу шешімін басқарады, ал жұмыс істейтін жол екеуін де қажет етеді. Екі аккаунттың ешқайсысы оны жалғыз аяқтай алмайды.
Бір жол, екі аккаунт
Пакетті spoke VPC-тен жергілікті префикске дейін бақылаңыз. Spoke ішкі желісінің маршрут кестесі сол префиксті транзиттік шлюз қосылымына жіберуі керек, оны VPC иесі өзгерте алады. Содан кейін шлюздің қосылымның байланысқан кестесінде VPN қосылымын көрсететін маршруты болуы керек, оны тек иесі өзгерте алады. Қайтарым трафигі екеуінің айнасын қажет етеді. Кез келген жақты өткізіп алсаңыз, жартылай орнатылған, брандмауэр мәселесіне ұқсайтын жол аласыз.
Екі өзгерісті де екі жауаптымен бір билетке жазыңыз, әйтпесе олар әртүрлі апталарда аяқталады.
Орналасу маңызды болғанда Қолжетімділік аймағының ID-лерін қолданыңыз
Аймақ атаулары аккаунттың жергілікті бүркеншік аттары. Бір аккаунттағы us-east-1a басқа аккаунттағы us-east-1a сияқты физикалық аймақ екеніне кепілдік жоқ. Дизайн бір аймақта қосылым мен жұмыс жүктемесін қажет етсе, AZ ID-лерін салыстырып, жазып алыңыз.
Атауларды салыстыру дұрыс көрінетін диаграмма мен дұрыс емес кідіріс профилін береді. Мұны диаграмма әлі салынып жатқанда тексеріңіз, біреу айырмашылықты өлшегеннен кейін емес.
Бөлісуді тоқтату деректер жолын кеспейді
Бөлісуді алып тастау кері қайтару сияқты сезіледі және бұл трафиктің лезде тоқтауы емес. AWS шлюз бөлісуден шығарылғанда қосылымның жұмысқа қабілетті болып қалатынын құжаттайды. Ресурсты басқару рұқсаты жоғалады, ал бұрыннан бар қосылым біреу оны жойғанша немесе өшіргенше жіберуді жалғастырады. Кері қайтаруды екі қадаммен жоспарлаңыз: бөлісуді алып тастаңыз, содан кейін қосылымды, екіншісін иесі орындайды.
Егер бөлісу сіздің жалғыз бақылауыңыз болса, бақылауыңыз жоқ.
Бөлісу жазбасы мен маршруттау жазбасын бірге сақтаңыз
Екі артефакт екі түрлі сұраққа жауап береді. Бөлісу жазбасы ресурспен кім жұмыс істей алатынын айтады. Маршрут кестелері қай желілердің шынымен сөйлесе алатынын айтады. Оларды бірдей иелер тізімімен бірге сақтаңыз, әйтпесе келесі оқиға ешқашан мәселе болмаған рұқсатты дәлелдеуден басталады.
Содан кейін әр бағытта бір ағынды және қолжетімсіз болып қалуы тиіс бір префиксті тексеріңіз.