Дељени Transit Gateway: чије су руте у AWS RAM

Дељење Transit Gateway-а преко Resource Access Manager-а чини једну конкретну ствар: омогућава другом налогу да позове дефинисан скуп API-ја за прикачивање према ресурсу који не поседује. Оно не преноси пролаз, његове табеле рута или право да се одлучује како се саобраћај прослеђује. Људи претпостављају супротно јер се прикачивање појављује у конзоли примаоца и одмах ради, што се осећа као власништво. Механизам испод је додела дозволе на дељеном ресурсу, и сваки подређени објекат остаје у границама налога власника. Ова подела објашњава већину тикета са одбијеним приступом око дељеног транзита.

Шта дељење заправо делегира

Дељење ресурса именује ресурс, принципала и управљану дозволу. Дозвола наводи радње које тај принципал може да изврши, а за Transit Gateway тај списак покрива операције прикачивања на дељеном ресурсу.

Све изван списка пада на API-ју, а не у конзоли, зато се грешка често појављује при првом покретању скрипте.

Табеле рута, асоцијације и пропагације остају код власника

Прослеђивање одређују три подређена објекта: са којом табелом рута је прикачивање повезано, у које табеле се пропагира и које руте те табеле садрже. AWS документација о дељењу наводи да прималац не може преко дељења да ствара, мења или брише табеле рута транзитног пролаза ни њихове асоцијације и пропагације. Ти позиви припадају налогу власника. Прималац коме треба нова асоцијација тражи административну измену, а не користи дозволу коју је заборавио да омогући.

Табела испод је подела коју стављам у пројектну документацију, јер преживљава промене особља.

Пажљиво прочитајте средњи ред: власник VPC-а контролише руте своје подмреже, власник пролаза контролише централну одлуку о прослеђивању, а радна путања захтева обоје. Ниједан од два налога не може то да заврши сам.

Једна путања, два налога

Пратите пакет од spoke VPC-а до локалног префикса. Табела рута spoke подмреже мора да пошаље тај префикс на прикачивање транзитног пролаза, што власник VPC-а може да промени. Затим пролаз мора да има у повезаној табели прикачивања руту која показује на VPN прикачивање, а то само власник може да промени. Повратни саобраћај захтева огледало оба. Ако пропустите било коју страну, добијате полуинсталирану путању која изгледа као проблем са заштитним зидом.

Упишите обе измене у један тикет са два одговорна, иначе ће бити завршене у различитим недељама.

Користите ID-јеве зона доступности када је смештај важан

Имена зона су локални псеудоними налога. us-east-1a у једном налогу није загарантовано да је иста физичка зона као us-east-1a у другом. Када пројекат захтева прикачивање и радно оптерећење у истој зони, упоредите AZ ID-јеве и запишите их.

Поређење имена даје дијаграм који изгледа исправно и профил кашњења који није. Проверите то док се дијаграм још црта, а не након што је неко измерио разлику.

Укидање дељења не прекида путању података

Уклањање дељења изгледа као опозив, и то није тренутно заустављање саобраћаја. AWS документује да прикачивање остаје функционално када пролаз изађе из дељења. Дозвола за управљање ресурсом нестаје, док постојеће прикачивање наставља да прослеђује док га неко не избрише или деактивира. Планирајте опозив у два корака: уклоните дељење, затим прикачивање, при чему други изводи власник.

Ако је дељење ваша једина контрола, немате контролу.

Држите запис о дељењу и запис о рутирању заједно

Два артефакта одговарају на два различита питања. Запис о дељењу каже ко може да ради са ресурсом. Табеле рута кажу које мреже заиста могу да разговарају. Чувајте их заједно са истим списком власника, иначе следећи инцидент почиње са неким ко доказује дозволу која никада није била проблем.

Затим тестирајте један ток у сваком смеру и један префикс који треба да остане недоступан.