Жалпы Transit Gateway: AWS RAM ичиндеги маршруттар кимге таандык
RAM аркылуу бөлүшүү башка аккаунтка VPC туташтырууга мүмкүндүк берет, бирок маршрут таблицалары, байланыштар жана таратуулар шлюз ээсинде калат. Бул жерде чек.
Transit Gateway-ди Resource Access Manager менен бөлүшүү бир конкреттүү нерсени жасайт: башка аккаунтка өзүнө таандык эмес ресурска карата аныкталган туташуу API топтомун чакырууга мүмкүндүк берет. Ал шлюзди, анын маршрут таблицаларын же трафиктин кантип өткөрүлүшүн чечүү укугун бербейт. Адамдар тескерисинче ойлошот, анткени туташуу алуучунун консолунда көрүнүп, дароо иштейт, бул ээлик сезимин берет. Астындагы механизм жалпы ресурска уруксат берүү болуп саналат, жана ар бир туунду объект ээсинин аккаунт чегинде калат. Бул бөлүнүү жалпы транзит айланасындагы кирүүдөн баш тартуу билеттеринин көбүн түшүндүрөт.
Бөлүшүү чындыгында эмнени өткөрүп берет
Ресурсту бөлүшүү ресурсту, принципалды жана башкарылуучу уруксатты атайт. Уруксат ошол принципал аткара ала турган аракеттерди тизмелейт, жана Transit Gateway үчүн бул тизме жалпы ресурстагы туташуу операцияларын камтыйт.
Тизмеден тышкары бардык нерсе консолдо эмес, API-да ишке ашпайт, ошондуктан ката скрипттин биринчи иштетилишинде көп көрүнөт.
Маршрут таблицалары, байланыштар жана таратуулар ээсинде калат
Өткөрүүнү үч туунду объект аныктайт: туташуу кайсы маршрут таблицасына байланган, ал кайсы таблицаларга тарайт жана ошол таблицаларда кандай маршруттар бар. AWSтин бөлүшүү документтери алуучу бөлүшүү аркылуу транзиттик шлюздун маршрут таблицаларын же алардын байланыштары менен таратууларын түзө, өзгөртө же жок кыла албастыгын белгилейт. Бул чакыруулар ээсинин аккаунтына таандык. Жаңы байланыш керек болгон алуучу административдик өзгөртүүнү сурайт, күйгүзүүнү унутуп калган уруксатты колдонбойт.
Төмөнкү таблица — долбоордук документтерге коюучу бөлүнүү, анткени ал кызматкерлер алмашканда да сакталат.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Ортоңку сапты кунт коюп окуңуз: VPC ээси өз ички тармагынын маршруттарын көзөмөлдөйт, шлюз ээси борбордук өткөрүү чечимин көзөмөлдөйт, ал эми иштеген жол экөөнү тең талап кылат. Эки аккаунттун эч бири аны жалгыз бүтүрө албайт.
Бир жол, эки аккаунт
Пакетти spoke VPCтен жергиликтүү префикске чейин көзөмөлдөңүз. Spoke ички тармагынын маршрут таблицасы ошол префиксти транзиттик шлюз туташуусуна жөнөтүшү керек, муну VPC ээси өзгөртө алат. Андан кийин шлюздун туташуунун байланган таблицасында VPN туташуусун көрсөткөн маршрут болушу керек, муну тек ээси гана өзгөртө алат. Кайтарым трафик экөөнүн тең күзгүсүн талап кылат. Кандайдыр бир тарапты өткөрүп жиберсеңиз, жарым орнотулган, брандмауэр көйгөйүнө окшош жол аласыз.
Эки өзгөртүүнү тең эки жоопкер менен бир билетке жазыңыз, болбосо алар ар башка апталарда бүтөт.
Жайгашуу маанилүү болгондо Жеткиликтүүлүк аймагынын IDлерин колдонуңуз
Аймак аттары аккаунттун жергиликтүү псевдонимдери. Бир аккаунттагы us-east-1a башка аккаунттагы us-east-1a сыяктуу эле физикалык аймак экенине кепилдик жок. Долбоор бир аймакта туташуу менен жумуш жүктөмүн талап кылса, AZ IDлерин салыштырып, жазып алыңыз.
Аттарды салыштыруу туура көрүнгөн диаграмма менен туура эмес кечигүү профилин берет. Муну диаграмма дагы сызылып жатканда текшериңиз, бирөө айырманы өлчөгөндөн кийин эмес.
Бөлүшүүнү токтотуу маалымат жолун кеспейт
Бөлүшүүнү алып салуу кайтарып алуудай сезилет жана бул трафиктин заматта токтошу эмес. AWS шлюз бөлүшүүдөн чыгарылганда туташуу иштей берерин документтейт. Ресурсту башкаруу уруксаты жоголот, ал эми мурунтан бар туташуу бирөө аны жок кылганга же өчүргөнгө чейин өткөрүүнү улантат. Кайтарып алууну эки кадам менен пландаңыз: бөлүшүүнү алып салыңыз, анан туташууну, экинчисин ээси аткарат.
Эгер бөлүшүү сиздин жалгыз көзөмөлүңүз болсо, көзөмөлүңүз жок.
Бөлүшүү жазуусун жана маршруттоо жазуусун бирге сактаңыз
Эки артефакт эки башка суроого жооп берет. Бөлүшүү жазуусу ресурс менен ким иштей аларын айтат. Маршрут таблицалары кайсы тармактар чындыгында сүйлөшө аларын айтат. Аларды бирдей ээлер тизмеси менен бирге сактаңыз, болбосо кийинки окуя эч качан көйгөй болбогон уруксатты далилдеген адам менен башталат.
Анан ар бир багытта бир агымды жана жетүүгө болбой калышы керек болгон бир префиксти текшериңиз.