Kopīgs Transit Gateway: kam pieder maršruti AWS RAM
RAM koplietošana ļauj citam kontam pievienot VPC, bet maršrutu tabulas, asociācijas un izplatīšanas paliek gateway īpašniekam. Šeit ir robeža.
Kopīgot Transit Gateway ar Resource Access Manager dara vienu konkrētu lietu: tā ļauj citam kontam izsaukt noteiktu pievienošanas API kopumu pret resursu, kas tam nepieder. Tas nenodod gateway, tā maršrutu tabulas vai tiesības izlemt, kā trafiks tiek pārsūtīts. Cilvēki pieņem pretējo, jo pievienojums parādās saņēmēja konsolē un darbojas uzreiz, kas šķiet kā īpašumtiesības. Apakšā esošais mehānisms ir atļaujas piešķiršana koplietotam resursam, un katrs bērna objekts paliek īpašnieka konta robežās. Šī sadalīšana izskaidro lielāko daļu piekļuves liegšanas biļešu saistībā ar koplietoto tranzītu.
Ko koplietošana faktiski deleģē
Resursa koplietošana nosauc resursu, principālu un pārvaldītu atļauju. Atļauja uzskaita darbības, ko šis principāls drīkst veikt, un Transit Gateway gadījumā šis saraksts aptver pievienošanas darbības koplietotajā resursā.
Viss ārpus saraksta neizdodas API, nevis konsolē, tāpēc kļūda bieži parādās skripta pirmajā palaišanas reizē.
Maršrutu tabulas, asociācijas un izplatīšanas paliek īpašniekam
Pārsūtīšanu nosaka trīs bērna objekti: ar kuru maršrutu tabulu pievienojums ir saistīts, uz kurām tabulām tas izplatās un kādi maršruti tajās tabulās ir. AWS koplietošanas dokumentācija norāda, ka saņēmējs koplietošanas ceļā nevar izveidot, mainīt vai dzēst tranzīta gateway maršrutu tabulas vai to asociācijas un izplatīšanas. Šie izsaukumi pieder īpašnieka kontam. Saņēmējs, kuram vajadzīga jauna asociācija, lūdz administratīvu izmaiņu, nevis izmanto atļauju, kuru aizmirsa iespējot.
Zemāk esošā tabula ir sadalījums, ko lieku projektēšanas dokumentos, jo tas pārdzīvo personāla maiņas.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Uzmanīgi izlasiet vidējo rindu: VPC īpašnieks kontrolē sava apakštīkla maršrutus, gateway īpašnieks kontrolē centrālo pārsūtīšanas lēmumu, un strādājošam ceļam vajadzīgi abi. Neviens no diviem kontiem nevar to pabeigt viens.
Viens ceļš, divi konti
Izsekojiet paketei no spoke VPC līdz vietējam prefiksam. Spoke apakštīkla maršrutu tabulai šis prefikss jānosūta uz tranzīta gateway pievienojumu, ko VPC īpašnieks var mainīt. Tad gateway saistītajā pievienojuma tabulā jābūt maršrutam, kas norāda uz VPN pievienojumu, un to var mainīt tikai īpašnieks. Atgriešanās trafikam vajadzīgs abu spogulis. Ja izlaižat jebkuru pusi, jūs iegūstat pusuzstādītu ceļu, kas izskatās pēc ugunsmūra problēmas.
Ierakstiet abas izmaiņas vienā biļetē ar diviem atbildīgajiem, citādi tās tiks pabeigtas dažādās nedēļās.
Izmantojiet pieejamības zonas ID, kad izvietojumam ir nozīme
Zonu nosaukumi ir konta vietējie aizstājvārdi. us-east-1a vienā kontā nav garantēts kā tā pati fiziskā zona kā us-east-1a citā. Kad projektam vajadzīgs pievienojums un darba slodze tajā pašā zonā, salīdziniet AZ ID un pierakstiet tos.
Nosaukumu salīdzināšana rada diagrammu, kas izskatās pareiza, un latentuma profilu, kas nav. Pārbaudiet to, kamēr diagramma vēl tiek zīmēta, nevis pēc tam, kad kāds ir izmērījis atšķirību.
Koplietošanas atcelšana nepārtrauc datu ceļu
Koplietošanas noņemšana šķiet kā atsaukšana, un tā nav tūlītēja trafika apstāšanās. AWS dokumentē, ka pievienojums paliek funkcionāls, kad gateway vairs netiek koplietots. Atļauja pārvaldīt resursu pazūd, bet esošais pievienojums turpina pārsūtīt, līdz kāds to izdzēš vai atspējo. Plānojiet atsaukšanu divos soļos: noņemiet koplietošanu, pēc tam pievienojumu, un otro veic īpašnieks.
Ja koplietošana ir jūsu vienīgā kontrole, jums nav kontroles.
Turiet koplietošanas ierakstu un maršrutēšanas ierakstu kopā
Divi artefakti atbild uz diviem dažādiem jautājumiem. Koplietošanas ieraksts saka, kas drīkst strādāt ar resursu. Maršrutu tabulas saka, kuri tīkli patiešām var sazināties. Glabājiet tos kopā ar to pašu īpašnieku sarakstu, citādi nākamais incidents sāksies ar kādu, kurš pierāda atļauju, kas nekad nav bijusi problēma.
Pēc tam pārbaudiet vienu plūsmu katrā virzienā un vienu prefiksu, kam jāpaliek nesasniedzamam.