Paylaşılan Transit Gateway: AWS RAM'de rotaların sahibi kim

Bir Transit Gateway'i Resource Access Manager ile paylaşmak tek bir belirli şey yapar: başka bir hesabın sahip olmadığı bir kaynağa karşı tanımlı bir ekleme API kümesi çağırmasına izin verir. Ağ geçidini, rota tablolarını veya trafiğin nasıl iletileceğine karar verme hakkını devretmez. İnsanlar tersini varsayar çünkü ekleme alıcının konsolunda görünür ve hemen çalışır, bu da sahiplik gibi hissettirir. Alttaki mekanizma paylaşılan bir kaynak üzerinde izin verilmesidir ve her alt nesne sahibin hesap sınırı içinde kalır. Bu ayrım, paylaşılan transit etrafındaki erişim reddi biletlerinin çoğunu açıklar.

Paylaşım gerçekte neyi devreder

Bir kaynak paylaşımı bir kaynağı, bir asıl öğeyi ve yönetilen bir izni adlandırır. İzin, o asıl öğenin gerçekleştirebileceği eylemleri listeler ve bir Transit Gateway için bu liste paylaşılan kaynaktaki ekleme işlemlerini kapsar.

Listenin dışındaki her şey konsolda değil API'de başarısız olur, bu yüzden hata genellikle betik ilk kez çalıştığında ortaya çıkar.

Rota tabloları, ilişkilendirmeler ve yayılımlar sahibinde kalır

İletmeyi üç alt nesne belirler: bir eklemenin hangi rota tablosuyla ilişkilendirildiği, hangi tablolara yayıldığı ve bu tabloların hangi rotaları tuttuğu. AWS'nin paylaşım belgeleri, alıcının paylaşım yoluyla transit ağ geçidinin rota tablolarını veya bunların ilişkilendirmelerini ve yayılımlarını oluşturamayacağını, değiştiremeyeceğini ya da silemeyeceğini belirtir. Bu çağrılar sahibin hesabına aittir. Yeni bir ilişkilendirmeye ihtiyaç duyan alıcı yönetsel bir değişiklik istiyordur, etkinleştirmeyi unuttuğu bir izni kullanmıyordur.

Aşağıdaki tablo tasarım belgelerine koyduğum ayrımdır, çünkü personel değişikliklerine dayanır.

Orta satırı dikkatle okuyun: VPC sahibi alt ağının rotalarını kontrol eder, ağ geçidi sahibi merkezi iletme kararını kontrol eder ve çalışan bir yol ikisini de gerektirir. Hesaplardan hiçbiri bunu tek başına tamamlayamaz.

Bir yol, iki hesap

Bir paketi spoke VPC'den yerinde ön eke kadar izleyin. Spoke alt ağı rota tablosu bu ön eki transit ağ geçidi eklemesine göndermelidir, bunu VPC sahibi değiştirebilir. Ardından ağ geçidinin eklemenin ilişkili tablosunda VPN eklemesine işaret eden bir rotası olmalıdır ve bunu yalnızca sahibi değiştirebilir. Dönüş trafiği ikisinin de aynasını gerektirir. Herhangi bir tarafı atlarsanız yarı kurulu, güvenlik duvarı sorunu gibi görünen bir yol elde edersiniz.

İki değişikliği iki sorumluyla tek bir bilete yazın, yoksa farklı haftalarda tamamlanırlar.

Yerleşim önemliyse Erişilebilirlik Bölgesi ID'lerini kullanın

Bölge adları hesaba özgü takma adlardır. Bir hesaptaki us-east-1a başka bir hesaptaki us-east-1a ile aynı fiziksel bölge olacağı garanti değildir. Tasarım aynı bölgede bir ekleme ve iş yükü gerektiriyorsa AZ ID'lerini karşılaştırın ve kaydedin.

Adları karşılaştırmak doğru görünen bir diyagram ve doğru olmayan bir gecikme profili üretir. Bunu diyagram hâlâ çizilirken kontrol edin, biri farkı ölçtükten sonra değil.

Paylaşımı kaldırmak veri yolunu kesmez

Paylaşımı kaldırmak geri çekme gibi hissettirir ve anında trafik durdurma değildir. AWS, ağ geçidi paylaşımdan çıkarıldığında eklemenin çalışır durumda kaldığını belgeler. Kaynağı yönetme izni kaybolur, mevcut ekleme biri silene veya devre dışı bırakana kadar iletmeye devam eder. Geri çekmeyi iki adımda planlayın: paylaşımı kaldırın, sonra eklemeyi kaldırın ve ikincisini sahibi yapsın.

Paylaşım tek kontrolünüzse, kontrolünüz yoktur.

Paylaşım kaydını ve yönlendirme kaydını birlikte tutun

İki artefakt iki farklı soruyu yanıtlar. Paylaşım kaydı kaynakla kimin çalışabileceğini söyler. Rota tabloları hangi ağların gerçekten konuşabileceğini söyler. İkisini aynı sahip listesiyle birlikte saklayın, yoksa sonraki olay hiç sorun olmayan bir izni kanıtlayan biriyle başlar.

Ardından her yönde bir akışı ve erişilemez kalması gereken bir ön eki test edin.