Compartilhamento da Amazon VPC - Construção de uma infraestrutura de rede da AWS escalável e segura com várias VPCs

Compartilhamento da Amazon VPC

O compartilhamento de VPCs é útil quando o isolamento de rede entre equipes não precisa ser gerenciado estritamente pelo proprietário da VPC, mas os usuários e as permissões em nível de conta precisam. Com a VPC compartilhada, várias contas da AWS criam os respectivos recursos da aplicação (como instâncias do Amazon EC2) em Amazon VPCs compartilhadas e gerenciadas centralmente. Nesse modelo, a conta que possui a VPC (proprietária) compartilha uma ou mais sub-redes com outras contas (participantes). Quando uma sub-rede é compartilhada, os participantes podem visualizar, criar, modificar e excluir os recursos de seus aplicativos nas sub-redes compartilhadas com eles. Os participantes não poderão visualizar, modificar ou excluir recursos que pertencerem a outros participantes ou proprietários da VPC. A segurança entre recursos em VPCs compartilhadas é gerenciada por meio de grupos de segurança e ACLs de rede da sub-rede. 

Benefícios do compartilhamento de VPC:

  • Design simplificado: ausência de complexidade com relação à conectividade entre VPCs.

  • Menos VPCs gerenciadas.

  • Segregação de tarefas entre equipes de rede e proprietários de aplicações.

  • Melhor utilização do endereço IPv4.

  • Custos mais baixos: ausência de cobranças de transferência de dados entre instâncias pertencentes a contas diferentes dentro da mesma zona de disponibilidade.

Observação: quando você compartilha uma sub-rede com várias contas, seus participantes devem ter algum nível de cooperação, pois estão compartilhando espaço IP e recursos de rede. Se necessário, você pode optar por compartilhar uma sub-rede diferente para cada conta participante. Uma sub-rede por participante permite que a ACL da rede forneça isolamento de rede, além de grupos de segurança.

A maioria das arquiteturas de cliente conterá várias VPCs, e muitas delas serão compartilhadas com duas ou mais contas. O Transit Gateway e o emparelhamento de VPC podem ser usados para conectar as VPCs compartilhadas. Por exemplo, digamos que você tenha dez aplicações. Cada uma requer uma conta da AWS exclusiva. As aplicações podem ser categorizadas em dois portfólios (aquelas dentro do mesmo portfólio têm requisitos de rede semelhantes, como aplicações 1-5 em “Marketing'” e aplicações 6-10 em “Vendas”).

Você pode ter uma VPC para cada portfólio de aplicações (um total de duas VPCs), e a VPC é compartilhada com as diferentes contas de proprietário de aplicações dentro desse portfólio. Os proprietários implantam as aplicações na respectiva VPC compartilhada (nesse caso, nas diferentes sub-redes para segmentação e isolamento de rotas de rede usando NACLs). As duas VPCs compartilhadas são conectadas por meio do Transit Gateway. Com essa configuração, em vez de precisar conectar dez VPCs, você conecta apenas duas (Figura 6).

Figura 6: exemplo de configuração de VPC compartilhada

nota

Os participantes do compartilhamento de VPC não podem criar todos os recursos da AWS em uma sub-rede compartilhada. Para obter mais informações, consulte Limites da Amazon VPC.