Transit Gateway dikongsi: siapa memiliki laluan di AWS RAM
Perkongsian RAM membolehkan akaun lain melampirkan VPC, tetapi jadual laluan, persatuan dan penyebaran kekal dengan pemilik gateway. Inilah sempadannya.
Berkongsi Transit Gateway dengan Resource Access Manager melakukan satu perkara khusus: ia membolehkan akaun lain memanggil set API lampiran yang ditentukan terhadap sumber yang tidak dimilikinya. Ia tidak memindahkan gateway, jadual laluannya atau hak untuk memutuskan bagaimana trafik diteruskan. Orang menganggap sebaliknya kerana lampiran muncul dalam konsol penerima dan berfungsi serta-merta, yang terasa seperti pemilikan. Mekanisme di bawahnya ialah pemberian kebenaran pada sumber dikongsi, dan setiap objek anak kekal dalam sempadan akaun pemilik. Pemisahan itu menjelaskan kebanyakan tiket akses ditolak sekitar transit dikongsi.
Apa yang sebenarnya diwakilkan oleh perkongsian
Perkongsian sumber menamakan sumber, prinsipal dan kebenaran terurus. Kebenaran menyenaraikan tindakan yang boleh dilakukan oleh prinsipal itu, dan untuk Transit Gateway senarai itu merangkumi operasi lampiran pada sumber dikongsi.
Apa-apa di luar senarai gagal di API dan bukan di konsol, sebab itu ralat sering muncul semasa skrip dijalankan kali pertama.
Jadual laluan, persatuan dan penyebaran kekal dengan pemilik
Penerusan ditentukan oleh tiga objek anak: jadual laluan mana yang dikaitkan dengan lampiran, ke jadual mana ia menyebar, dan laluan apa yang dipegang jadual itu. Dokumentasi perkongsian AWS menyatakan bahawa penerima tidak boleh mencipta, mengubah atau memadam jadual laluan gateway transit atau persatuan dan penyebarannya melalui perkongsian. Panggilan itu milik akaun pemilik. Penerima yang memerlukan persatuan baharu meminta perubahan pentadbiran, bukan melaksanakan kebenaran yang terlupa diaktifkan.
Jadual di bawah ialah pembahagian yang saya letakkan dalam dokumen reka bentuk, kerana ia bertahan melalui pertukaran kakitangan.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Baca baris tengah dengan teliti: pemilik VPC mengawal laluan subnetnya, pemilik gateway mengawal keputusan penerusan pusat, dan laluan yang berfungsi memerlukan kedua-duanya. Tiada akaun yang boleh melengkapkannya sendirian.
Satu laluan, dua akaun
Jejaki paket dari VPC spoke ke awalan tempatan. Jadual laluan subnet spoke mesti menghantar awalan itu ke lampiran gateway transit, yang boleh diubah oleh pemilik VPC. Kemudian gateway mesti mempunyai laluan dalam jadual berkaitan lampiran yang menunjuk ke lampiran VPN, yang hanya boleh diubah oleh pemilik. Trafik balik memerlukan cermin kedua-duanya. Tinggalkan mana-mana sisi dan anda mendapat laluan yang separuh dipasang dan kelihatan seperti masalah firewall.
Tulis kedua-dua perubahan dalam satu tiket dengan dua penanggung jawab, atau ia akan siap pada minggu yang berbeza.
Gunakan ID Zon Ketersediaan apabila penempatan penting
Nama zon ialah alias tempatan akaun. us-east-1a dalam satu akaun tidak dijamin zon fizikal yang sama seperti us-east-1a dalam akaun lain. Apabila reka bentuk memerlukan lampiran dan beban kerja dalam zon yang sama, bandingkan ID AZ dan catatkannya.
Membandingkan nama menghasilkan gambar rajah yang kelihatan betul dan profil kependaman yang tidak. Semak semasa gambar rajah masih dilukis, bukan selepas seseorang mengukur perbezaannya.
Membatalkan perkongsian tidak memutus laluan data
Membuang perkongsian terasa seperti pembatalan, dan ia bukan penghentian trafik serta-merta. AWS mendokumenkan bahawa lampiran kekal berfungsi apabila gateway tidak lagi dikongsi. Kebenaran mengurus sumber hilang, manakala lampiran yang sedia ada terus meneruskan sehingga seseorang memadam atau menyahaktifkannya. Rancang pembatalan dalam dua langkah: buang perkongsian, kemudian lampiran, dengan pemilik melakukan yang kedua.
Jika perkongsian ialah satu-satunya kawalan anda, anda tidak mempunyai kawalan.
Simpan rekod perkongsian dan rekod penghalaan bersama
Dua artifak menjawab dua soalan berbeza. Rekod perkongsian menyatakan siapa yang boleh bekerja dengan sumber. Jadual laluan menyatakan rangkaian mana yang benar-benar boleh bercakap. Simpan kedua-duanya bersama senarai pemilik yang sama, atau insiden seterusnya akan bermula dengan seseorang membuktikan kebenaran yang tidak pernah menjadi masalah.
Kemudian uji satu aliran dalam setiap arah dan satu awalan yang sepatutnya kekal tidak dapat dicapai.