Zdieľaný Transit Gateway: komu patria trasy v AWS RAM

Zdieľanie Transit Gateway cez Resource Access Manager robí jednu konkrétnu vec: umožňuje inému kontu volať definovanú sadu API pripojenia voči prostriedku, ktorý nevlastní. Neprenáša bránu, jej smerovacie tabuľky ani právo rozhodovať, ako sa prevádzka preposiela. Ľudia predpokladajú opak, pretože pripojenie sa objaví v konzole príjemcu a hneď funguje, čo vyzerá ako vlastníctvo. Mechanizmus pod tým je udelenie oprávnenia na zdieľaný prostriedok a každý podriadený objekt zostáva v hraniciach účtu vlastníka. Toto rozdelenie vysvetľuje väčšinu tiketov s odmietnutým prístupom okolo zdieľaného tranzitu.

Čo zdieľanie skutočne deleguje

Zdieľanie prostriedku pomenúva prostriedok, principála a spravované oprávnenie. Oprávnenie uvádza akcie, ktoré tento principál smie vykonávať, a pre Transit Gateway tento zoznam pokrýva operácie pripojenia na zdieľanom prostriedku.

Čokoľvek mimo zoznamu zlyhá v API, nie v konzole, preto sa chyba často objaví pri prvom spustení skriptu.

Smerovacie tabuľky, asociácie a propagácie zostávajú vlastníkovi

Preposielanie určujú tri podriadené objekty: s ktorou smerovacou tabuľkou je pripojenie asociované, do ktorých tabuliek sa propaguje a aké trasy tieto tabuľky obsahujú. Dokumentácia AWS o zdieľaní uvádza, že príjemca nemôže cez zdieľanie vytvárať, upravovať ani mazať smerovacie tabuľky tranzitnej brány ani ich asociácie a propagácie. Tieto volania patria účtu vlastníka. Príjemca, ktorý potrebuje novú asociáciu, žiada administratívnu zmenu, nevykonáva oprávnenie, ktoré zabudol povoliť.

Tabuľka nižšie je rozdelenie, ktoré dávam do návrhových dokumentov, pretože prežije zmeny personálu.

Prečítajte si pozorne prostredný riadok: vlastník VPC riadi trasy svojej podsiete, vlastník brány riadi centrálne rozhodnutie o preposielaní a fungujúca cesta potrebuje oboje. Žiadny z účtov to nedokáže dokončiť sám.

Jedna cesta, dva účty

Sledujte paket z spoke VPC k lokálnemu prefixu. Smerovacia tabuľka spoke podsiete musí poslať tento prefix na pripojenie tranzitnej brány, čo vlastník VPC môže zmeniť. Potom musí mať brána v pridruženej tabuľke pripojenia trasu ukazujúcu na VPN pripojenie, čo môže zmeniť iba vlastník. Spätná prevádzka potrebuje zrkadlo oboch. Vynechajte ktorúkoľvek stranu a dostanete cestu napoly nainštalovanú, ktorá vyzerá ako problém s firewallom.

Napíšte obe zmeny do jedného tiketu s dvoma zodpovednými, inak budú dokončené v rôznych týždňoch.

Používajte ID zón dostupnosti, keď záleží na umiestnení

Názvy zón sú aliasy miestne pre účet. us-east-1a v jednom účte nemusí byť tá istá fyzická zóna ako us-east-1a v inom. Keď návrh potrebuje pripojenie a pracovnú záťaž v tej istej zóne, porovnajte ID AZ a zaznamenajte ich.

Porovnanie názvov vytvorí diagram, ktorý vyzerá správne, a profil latencie, ktorý správny nie je. Skontrolujte to, kým sa diagram ešte kreslí, nie po tom, čo niekto zmeral rozdiel.

Zrušenie zdieľania nepreruší dátovú cestu

Odstránenie zdieľania pôsobí ako odvolanie, ale nie je to okamžité zastavenie prevádzky. AWS dokumentuje, že pripojenie zostáva funkčné, keď brána prestane byť zdieľaná. Oprávnenie spravovať prostriedok zmizne, zatiaľ čo existujúce pripojenie ďalej preposiela, kým ho niekto nezmaže alebo nevypne. Naplánujte odvolanie v dvoch krokoch: odstráňte zdieľanie, potom pripojenie, pričom druhý krok vykoná vlastník.

Ak je zdieľanie vaša jediná kontrola, nemáte kontrolu.

Uchovávajte záznam o zdieľaní a záznam o smerovaní spolu

Dva artefakty odpovedajú na dve rôzne otázky. Záznam o zdieľaní hovorí, kto smie pracovať s prostriedkom. Smerovacie tabuľky hovoria, ktoré siete spolu môžu skutočne hovoriť. Uložte ich spolu s rovnakým zoznamom vlastníkov, inak ďalší incident začne tým, že niekto dokazuje oprávnenie, ktoré nikdy nebolo problémom.

Potom otestujte jeden tok v každom smere a jeden prefix, ktorý má zostať nedostupný.