Споделен Transit Gateway: чии се рутите во AWS RAM

Споделувањето на Transit Gateway преку Resource Access Manager прави една конкретна работа: му дозволува на друг профил да повика дефиниран сет API за прикачување кон ресурс што не го поседува. Тоа не ја пренесува портата, нејзините табели со рути или правото да се одлучува како сообраќајот се препраќа. Луѓето претпоставуваат спротивно затоа што прикачувањето се појавува во конзолата на примачот и работи веднаш, што се чувствува како сопственост. Механизмот под тоа е доделување дозвола на споделен ресурс, и секој детски објект останува во границите на профилот на сопственикот. Оваа поделба ги објаснува повеќето тикети за одбиен пристап околу споделениот транзит.

Што всушност делегира споделувањето

Споделувањето ресурс именува ресурс, принципал и управувана дозвола. Дозволата ги наведува дејствата што тој принципал може да ги изврши, а за Transit Gateway тој список ги опфаќа операциите за прикачување на споделениот ресурс.

Сето надвор од списокот паѓа на API, а не во конзолата, затоа грешката често се појавува при првото извршување на скрипта.

Табелите со рути, асоцијациите и пропагациите остануваат кај сопственикот

Препраќањето го одредуваат три детски објекти: со која табела со рути е асоцирано прикачувањето, во кои табели се пропагира и кои рути ги содржат тие табели. Документацијата на AWS за споделување наведува дека примачот не може да создава, менува или брише табели со рути на транзитната порта или нивните асоцијации и пропагации преку споделувањето. Тие повици му припаѓаат на профилот на сопственикот. Примач на кого му треба нова асоцијација бара административна промена, а не ја користи дозволата што заборавил да ја овозможи.

Табелата подолу е поделбата што ја ставам во проектните документи, бидејќи преживува промени на персоналот.

Прочитајте го средниот ред внимателно: сопственикот на VPC ги контролира рутите на својата подмрежа, сопственикот на портата ја контролира централната одлука за препраќање, а работната патека ги бара двете. Ниту еден од двата профила не може да го заврши сам.

Една патека, два профила

Следете пакет од spoke VPC до локален префикс. Табелата со рути на spoke подмрежата мора да го испрати тој префикс до прикачувањето на транзитната порта, што сопственикот на VPC може да го смени. Потоа портата мора да има рута во асоцираната табела на прикачувањето што покажува кон VPN прикачувањето, а тоа само сопственикот може да го смени. Повратниот сообраќај бара огледало од двете. Ако пропуштите која било страна, добивате полуинсталирана патека што изгледа како проблем со огноотпорниот ѕид.

Запишете ги двете промени во еден тикет со двајца одговорни, инаку ќе бидат завршени во различни недели.

Користете ID на зони за достапност кога поставеноста е важна

Имињата на зоните се локални алијаси на профилот. us-east-1a во еден профил не е гарантирано дека е истата физичка зона како us-east-1a во друг. Кога проектот бара прикачување и работно оптоварување во истата зона, споредете AZ ID и запишете ги.

Споредувањето имиња дава дијаграм што изгледа точно и профил на латентност што не е. Проверете го тоа додека дијаграмот уште се црта, а не откако некој ја измерил разликата.

Откажувањето на споделувањето не ја прекинува патеката на податоци

Отстранувањето на споделувањето изгледа како отповикување, и тоа не е моментално запирање на сообраќајот. AWS документира дека прикачувањето останува функционално кога портата се вади од споделувањето. Дозволата за управување со ресурсот исчезнува, додека постојното прикачување продолжува да препраќа додека некој не го избрише или деактивира. Планирајте го отповикувањето во два чекора: отстранете го споделувањето, потоа прикачувањето, при што вториот го извршува сопственикот.

Ако споделувањето е вашата единствена контрола, немате контрола.

Чувајте го записот за споделување и записот за рутирање заедно

Два артефакта одговараат на две различни прашања. Записот за споделување кажува кој смее да работи со ресурсот. Табелите со рути кажуваат кои мрежи навистина можат да разговараат. Чувајте ги заедно со истиот список на сопственици, инаку следниот инцидент ќе започне со некој што докажува дозвола што никогаш не била проблемот.

Потоа тестирајте еден тек во секоја насока и еден префикс што треба да остане недостапен.