Transit Gateway i përbashkët: kush i zotëron rrugët në AWS RAM
Ndarja përmes RAM lejon një llogari tjetër të lidhë një VPC, por tabelat e rrugëve, asociimet dhe përhapjet mbeten te pronari i gateway-it. Këtu është kufiri.
Ndarja e një Transit Gateway me Resource Access Manager bën një gjë specifike: lejon një llogari tjetër të thërrasë një grup të përcaktuar API-esh lidhjeje ndaj një burimi që nuk e zotëron. Nuk transferon gateway-in, tabelat e tij të rrugëve ose të drejtën për të vendosur si përcillet trafiku. Njerëzit mendojnë të kundërtën sepse lidhja shfaqet në konsolën e marrësit dhe funksionon menjëherë, gjë që duket si pronësi. Mekanizmi nën të është një dhënie lejeje mbi një burim të përbashkët, dhe çdo objekt fëmijë mbetet brenda kufirit të llogarisë së pronarit. Kjo ndarje shpjegon shumicën e biletave të aksesit të refuzuar rreth transitit të përbashkët.
Çfarë delegon në të vërtetë ndarja
Një ndarje burimi emërton një burim, një principal dhe një leje të menaxhuar. Leja liston veprimet që ai principal mund të kryejë, dhe për një Transit Gateway ajo listë mbulon operacionet e lidhjes në burimin e përbashkët.
Çdo gjë jashtë listës dështon në API dhe jo në konsol, prandaj gabimi shfaqet shpesh në ekzekutimin e parë të një skripti.
Tabelat e rrugëve, asociimet dhe përhapjet mbeten te pronari
Përcjellja përcaktohet nga tre objekte fëmijë: me cilën tabelë rrugësh është asociuar një lidhje, në cilat tabela përhapet dhe çfarë rrugësh përmbajnë ato tabela. Dokumentacioni i ndarjes së AWS thotë se një marrës nuk mund të krijojë, modifikojë ose fshijë tabelat e rrugëve të gateway-it të transitit apo asociimet dhe përhapjet e tyre përmes ndarjes. Ato thirrje i përkasin llogarisë së pronarit. Një marrës që ka nevojë për një asociim të ri po kërkon një ndryshim administrativ, nuk po ushtron një leje që harroi ta aktivizojë.
Tabela më poshtë është ndarja që vendos në dokumentet e projektimit, sepse i mbijeton ndryshimeve të stafit.
| Role | What it controls |
|---|---|
| Transit Gateway owner | The gateway, its route tables, associations and propagations; the Site-to-Site VPN attachment is created here. |
| VPC owner using the share | Its own attachment, subnet route tables and security policy for the workloads. |
| Shared-subnet participant | Workload traffic only, following routes the VPC owner already set. |
Lexoni me kujdes rreshtin e mesëm: pronari i VPC-së kontrollon rrugët e nënrrjetit të tij, pronari i gateway-it kontrollon vendimin qendror të përcjelljes, dhe një rrugë funksionale kërkon të dyja. Asnjëra nga llogaritë nuk mund ta përfundojë vetëm.
Një rrugë, dy llogari
Ndiqni një paketë nga një VPC spoke në një prefiks lokal. Tabela e rrugëve e nënrrjetit spoke duhet ta dërgojë atë prefiks te lidhja e gateway-it të transitit, gjë që pronari i VPC-së mund ta ndryshojë. Më pas gateway-i duhet të ketë në tabelën e asociuar të lidhjes një rrugë që tregon lidhjen VPN, dhe këtë vetëm pronari mund ta ndryshojë. Trafiku i kthimit kërkon pasqyrën e të dyjave. Nëse humbisni njërën anë, merrni një rrugë gjysmë të instaluar që duket si problem firewall-i.
Shkruani të dy ndryshimet në një biletë të vetme me dy përgjegjës, përndryshe do të përfundojnë në javë të ndryshme.
Përdorni ID-të e zonës së disponueshmërisë kur vendosja ka rëndësi
Emrat e zonave janë pseudonime lokale të llogarisë. us-east-1a në një llogari nuk është e garantuar të jetë e njëjta zonë fizike si us-east-1a në një tjetër. Kur projektimi kërkon një lidhje dhe një ngarkesë pune në të njëjtën zonë, krahasoni ID-të AZ dhe regjistrojini.
Krahasimi i emrave prodhon një diagram që duket i saktë dhe një profil vonese që nuk është. Kontrollojeni këtë ndërsa diagrami është ende duke u vizatuar, jo pasi dikush ka matur diferencën.
Heqja e ndarjes nuk e pret rrugën e të dhënave
Heqja e ndarjes duket si tërheqje, dhe nuk është një ndalim i menjëhershëm i trafikut. AWS dokumenton se një lidhje mbetet funksionale kur gateway-i hiqet nga ndarja. Leja për të menaxhuar burimin zhduket, ndërsa lidhja ekzistuese vazhdon të përcjellë derisa dikush ta fshijë ose ta çaktivizojë. Planifikoni tërheqjen në dy hapa: hiqni ndarjen, pastaj lidhjen, dhe pronari kryen të dytin.
Nëse ndarja është kontrolli juaj i vetëm, nuk keni kontroll.
Mbajini bashkë regjistrin e ndarjes dhe regjistrin e rrugëtimit
Dy artefakte u përgjigjen dy pyetjeve të ndryshme. Regjistri i ndarjes thotë kush mund të punojë me burimin. Tabelat e rrugëve thonë cilat rrjeta mund të flasin vërtet. Ruajini bashkë me të njëjtën listë pronarësh, përndryshe incidenti tjetër do të nisë me dikë që provon një leje që nuk ishte kurrë problemi.
Më pas provoni një rrjedhë në çdo drejtim dhe një prefiks që duhet të mbetet i paarritshëm.