Gedeelten Transit Gateway: wiem gehéieren d'Routen an AWS RAM
RAM-Deelen erlaabt engem aneren Kont eng VPC unzeschléissen, awer Routtabellen, Associatiounen a Propagatioune bleiwen beim Besëtzer vum Gateway. Hei ass d'Grenz.
En Transit Gateway mat Resource Access Manager deelen mécht eng eenzeg spezifesch Saach: et erlaabt engem aneren Kont, eng definéiert Rei vun Uschloss-APIen op eng Ressource ze ruffen, déi hien net besëtzt. Et iwwerdréit weder de Gateway, seng Routtabellen nach d'Recht ze entscheeden, wéi den Traffic weidergeleet gëtt. D'Leit huelen dat Géigendeel un, well den Uschloss an der Konsole vum Empfänger erschéngt a gläich funktionnéiert, wat sech wéi Proprietéit ufillt. De Mechanismus dohannert ass eng Erlabnes op enger gedeelter Ressource, an all Kannerobjekt bleift bannent der Kontgrenz vum Besëtzer. Dës Deelung erkläert déi meescht Access-refuséiert Ticketen ronderëm gedeelten Transit.
Wat d'Deelen tatsächlech delegéiert
Eng Ressourcendeelung nennt eng Ressource, e Principal an eng verwalt Erlabnes. D'Erlabnes zielt d'Aktiounen op, déi dee Principal ausféiere kann, an fir en Transit Gateway deckt dës Lëscht Uschlossoperatiounen op der gedeelter Ressource of.
Alles baussent der Lëscht schléit an der API fehl an net an der Konsole, dofir erschéngt de Feeler dacks beim éischten Ausféiere vun engem Skript.
Routtabellen, Associatiounen a Propagatioune bleiwen beim Besëtzer
D'Weiderleede gëtt vun dräi Kannerobjekter entscheed: mat wéi enger Routtabel en Uschloss associéiert ass, a wéi eng Tabellen et propagéiert, a wéi eng Routen dës Tabellen hunn. D'AWS-Dokumentatioun zum Deelen seet, datt en Empfänger iwwer d'Deelung keng Transit-Gateway-Routtabellen oder hir Associatiounen a Propagatioune kann uleeën, änneren oder läschen. Dës Opruffer gehéieren zum Besëtzerkont. En Empfänger, deen eng nei Associatioun brauch, freet eng administrativ Ännerung un, an übt net eng Erlabnes aus, déi hien vergiess huet anzeschalten.
D'Tabell hei drënner ass d'Deelung, déi ech an Design-Dokumenter setzen, well se Personalwiesselen iwwerlieft.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Liest d'Mëttelrei suergfälteg: de VPC-Besëtzer kontrolléiert seng Subnetrouten, de Gateway-Besëtzer kontrolléiert d'zentral Weiderleedungsentscheedung, an e funktionéierende Wee brauch béides. Keen vun deenen zwou Konten kann et eleng fäerdeg maachen.
Een Wee, zwou Konten
Verfollegt e Paket vun enger Spoke-VPC bis op e lokale Prefix. D'Spoke-Subnetrouttabel muss dee Prefix un den Transit-Gateway-Uschloss schécken, wat de VPC-Besëtzer ka änneren. Duerno muss de Gateway an der associéierter Tabell vum Uschloss eng Rout hunn, déi op den VPN-Uschloss weist, wat nëmmen de Besëtzer ka änneren. Zréckverkéier brauch de Spigel vu béiden. Verpasst eng Säit a Dir kritt e Wee, deen hallef installéiert ass an wéi e Firewall-Problem ausgesäit.
Schreift béid Ännerungen an een Ticket mat zwou Verantwortlechen, soss ginn se a verschiddene Wochen fäerdeg.
Benotzt Availability Zone IDen, wann d'Plaz wichteg ass
Zonennimm sinn kontlokal Aliassen. us-east-1a an engem Kont ass net garantéiert déiselwecht physesch Zon wéi us-east-1a an engem aneren. Wann den Design en Uschloss an eng Aarbechtslaascht an der selwechter Zon brauch, vergläicht AZ IDen a schreift se op.
Nimm vergläichen ergëtt en Diagramm, dee richteg ausgesäit, an e Latenzprofil, deen et net ass. Préift dat, wärend den Diagramm nach gezeechent gëtt, net nodeems een den Ënnerscheed gemooss huet.
D'Deelung ophiewen trennt den Datenwee net of
D'Deelung ewechzehuelen fillt sech wéi e Widderruff un, an et ass keen direkte Verkéiersstopp. AWS dokumentéiert, datt en Uschloss funktional bleift, wann de Gateway net méi gedeelt gëtt. D'Erlabnes d'Ressource ze verwalten verschwënnt, wärend den existéierenden Uschloss weiderleet, bis een en läscht oder deaktivéiert. Plangt de Widderruff an zwee Schrëtt: huelt d'Deelung ewech, dann den Uschloss, an de Besëtzer mécht den zweeten.
Wann d'Deelen Är eenzeg Kontroll ass, hutt Dir keng Kontroll.
Halt de Deelungsrekord an de Routingrekord zesummen
Zwee Artefakte beäntweren zwou verschidde Froen. De Deelungsrekord seet, wien mat der Ressource schaffe darf. D'Routtabellen soen, wéi eng Netzwierker tatsächlech kënne schwätzen. Späichert se zesummen mat der selwechter Besëtzerlëscht, soss fänkt den nächsten Tëschefall domat un, datt een eng Erlabnes beweist, déi ni de Problem war.
Test dann ee Floss an all Richtung an ee Prefix, deen onereechbar soll bleiwen.