Considerazioni sull'hub VPC

Esaminare le seguenti considerazioni sulla pianificazione per il VPC hub:

• È importante assicurarsi di stabilire la connettività tra il VPC hub e i VPC condivisi DNS. IBM Cloud non gestisce o convalida la connettività.
• Puoi designare un VPC come hub quando crei un VPC o in qualsiasi momento dopo che è stato creato. Quando si designa un VPC come hub, non può avere alcun bind di risoluzione DNS.
• Puoi creare più di un VPC hub in un account, purché non disponi di VPC condivisi da DNS che si sovrappongono.
• Non è possibile eliminare la VPC hub se ha dei binding di risoluzione DNS a VPC condivise con DNS.
• Puoi solo avviare la creazione di un'associazione di risoluzione DNS da un VPC condiviso DNS.
• Solo un utente autorizzato può eliminare il binding di risoluzione DNS da un VPC hub e un VPC condiviso da DNS. Per eliminare il bind della risoluzione DNS da un VPC hub, all'utente devono essere assegnate le azioni is.vpc.dns-resolution-binding.delete e is.vpc.dns-resolution-binding.disconnect IAM. È possibile assegnare l'utente con la politica di accesso DNSBindingConnector e i ruoli della piattaforma Amministratore o Editor.

Considerazioni sul VPC condiviso DNS

Esamina le seguenti considerazioni di pianificazione per i VPC condivisi DNS:

• È possibile assegnare un bind della risoluzione DNS a un VPC hub selezionandolo da un elenco di VPC (se il VPC hub è presente nello stesso account) oppure immettendo il CRN (cloud resource name) del VPC hub (se il VPC hub esiste in un altro account).

• Se le VPC con condivisione DNS contengono gateway VPE in conflitto con le VPE della VPC hub o con una qualsiasi delle VPE condivise con le VPC con condivisione DNS esistenti, la VPC con condivisione DNS deve disabilitare il binding di risoluzione DNS per quella VPE, prima di essere creata. Problemi simili si verificano se si cerca di creare un VPE in conflitto dopo la creazione del binding di risoluzione DNS.

• Puoi attivare o disattivare la condivisione DNS su ogni singolo gateway endpoint nel VPC condiviso da DNS.

• Puoi vedere i dettagli del bind della risoluzione DNS per ottenere informazioni sul VPC hub e su quali gateway endpoint nel VPC condiviso da DNS hanno la condivisione DNS abilitata.

• Non puoi creare più di un bind di risoluzione DNS per un VPC condiviso da DNS.

• Non puoi eliminare il bind della risoluzione DNS su un VPC condiviso da DNS se il tipo di resolver DNS è impostato su Delegata. È necessario prima aggiornare il tipo di resolver DNS su Sistema o Manuale, quindi eliminare il bind della risoluzione DNS.

• Affinché una VPC con condivisione DNS possa utilizzare il server DNS delegato sulla VPC hub, l'hub deve eseguire un resolver personalizzato sulle sue reti. L'utente autorizzato della VPC con condivisione DNS può configurare il proprio resolver DNS su quello personalizzato.

• Puoi attivare o disattivare la condivisione DNS su ogni singolo gateway endpoint nel VPC condiviso da DNS.

• Un utente autorizzato VPC condiviso da DNS è in grado di modificare il proprio resolver DNS nel resolver personalizzato sul VPC hub. Ciò è essenziale quando il VPC condiviso dal DNS tenta di connettersi ai gateway endpoint sul VPC hub o su qualsiasi altro VPC condiviso dal DNS che condivide la propria rete DNS con lo stesso hub.

  • Un utente autorizzato VPC condiviso DNS può creare o eliminare un bind di risoluzione DNS. L'utente deve disporre dei livelli di autorizzazione appropriati su entrambe le VPC:

  • L'utente deve disporre delle autorizzazioni di binding-create sulla VPC con condivisione DNS.

  • L'utente deve avere le autorizzazioni binding-connect e di lettura sulla VPC DNS-hub.

    Quando l'hub DNS e le VPC condivise con DNS si trovano in account diversi, è necessario un processo di delega per creare un criterio da servizio a servizio che consenta al ruolo di servizio DNSBinding della VPC condivisa con DNS di accedere alla VPC dell'hub DNS.

  • Per cambiare il resolver DNS di una VPC condivisa con il resolver personalizzato, l'utente autorizzato deve avere il ruolo di Operatore (minimo) sulla VPC condivisa con il DNS e il ruolo di spettatore sulla VPC hub DNS.

• Gli utenti autorizzati del resolver personalizzato sul VPC hub possono utilizzare il resolver personalizzato in modo indipendente. Se i suoi indirizzi IP cambiano, vengono automaticamente propagati a tutte le VPC delegate con condivisione DNS.

• IBM Cloud non gestisce o controlla i server DNS on-premise; i clienti devono gestire la propria configurazione DNS on-premise.

Limitazioni nella configurazione della condivisione DNS per i gateway VPE

Prima di configurare la condivisione DNS per i gateway VPE, verificare le seguenti limitazioni:

• Il VPC hub DNS e i VPC condivisi DNS devono trovarsi nella stessa regione. Non esiste un supporto per le VPC condivise via DNS in una regione remota.
• Le VPE sull'hub DNS VPC sono sempre condivise con le VPC DNS-shared associate. È necessario configurare tutti i VPE sull'hub DNS con allow_dns_resolution prima che la VPC possa essere abilitata come hub DNS.
• IBM Cloud non gestisce o controlla i server DNS on-premise; i clienti devono assicurarsi che i server on-premise puntino al resolver personalizzato hub o spoke, a seconda delle necessità.
• Quando la VPC hub ha dei binding di risoluzione DNS alle VPC condivise con DNS, non è possibile disattivarla come hub DNS o eliminare la VPC.
• Una VPC con condivisione DNS può essere associata a un solo hub.
• L'affinità di zona non è supportata per un resolver personalizzato quando ha più indirizzi. Un indirizzo resolver personalizzato diventa sempre l'indirizzo DNS primario per tutte le zone di disponibilità di questa VPC.
• Non è possibile disattivare o eliminare il resolver personalizzato sull'hub DNS VPC finché è in uso.
• Requisiti temporali per le operazioni di binding: la creazione, l'eliminazione, l'attivazione o la disattivazione dei binding di risoluzione DNS, comprese le modifiche al binding del gateway dell'endpoint, potrebbero non riuscire se l'operazione viene completata in meno di 5 minuti. Per evitare un fallimento, assicurarsi che queste operazioni durino più di 6 minuti.
• Se si rimuove e si ricrea la stessa VPE su una qualsiasi combinazione di hub o VPC con condivisione DNS nell'arco di 5 minuti, la creazione della VPE potrebbe fallire.

Considerazioni sulla pianificazione VPE per l'accesso locale

Seleziona disponibilità

Quando si distribuiscono VPE con accesso locale in una VPC con DNS condiviso:

• Configurare la condivisione DNS prima di creare un gateway endpoint di accesso locale. Se la condivisione DNS è già configurata, non sono necessarie modifiche o migrazioni per iniziare a utilizzare un gateway endpoint di accesso locale.
• Verificare che il servizio supporti VPE. Attualmente è Cloud Object Storage supportato solo.
• Assicurarsi che esista un VPE nell'hub VPC per il servizio prima di creare un VPE con accesso locale nel VPC condiviso DNS.
• Verificare che la VPC condivisa DNS abbia un binding di risoluzione DNS all'hub.
• Ogni VPE ad accesso locale può essere creato con associazioni di risorse specifiche, che devono essere univoche nell'intera topologia.
• Ogni VPC condiviso tramite DNS può contenere solo un VPE ad accesso locale per risorsa all'interno dell'endpoint del servizio.
• Assicurarsi che i collegamenti delle risorse per il VPE VPC condiviso DNS siano configurati sul servizio di destinazione.
• Il traffico per una risorsa (ad esempio, un Object Storage bucket) associata al VPE ad accesso locale viene instradato direttamente tra la VPC condivisa e la risorsa, bypassando la VPC hub DNS.
• L'hub-VPC VPE deve rimanere attivo finché esistono VPE di accesso locale per lo stesso endpoint di servizio.
• Se allow_dns_resolution_binding è disabilitato su un VPE, i record DNS non vengono propagati tra l'hub e le VPC condivise DNS.
• Assicurati di aggiornare le regole CBR e del gruppo di sicurezza per consentire il traffico dalla VPC condivisa DNS appropriata.

Collegamenti correlati

• Pianificazione dei gateway endpoint privati virtuali
• Domande frequenti per i gateway endpoint privati virtuali