Summary

  • In einem innerhalb von AWS Organizations geteilten VPC-Subnetz bezahlt das teilnehmende Konto eigene EC2-, RDS-, Redshift- und Lambda-Ressourcen sowie die von AWS bezeichneten Datentransfers zwischen Availability Zones, über VPC-Peering, Internet-Gateways und Direct Connect.
  • Der VPC-Eigentümer bezahlt öffentliche IPv4-Adressen im gemeinsamen VPC und die einschlägigen Gebühren für NAT-Gateways, PrivateLink und Endpunkte. Nach dem Entzug der Freigabe laufen vorhandene Teilnehmerressourcen weiter; solange sie existieren, kann der Eigentümer Subnetz und VPC nicht löschen.

Ein Netzplan verdeckt zwei Rechnungen

AWS erlaubt Konten derselben Organisation, Anwendungen in gemeinsam genutzten Subnetzen zu betreiben. Ein Zentralkonto verwaltet das VPC, die Teilnehmer verwalten ihre Anwendungen. AWS beschreibt das als Trennung von Zugriff und Abrechnung. Doch die Rechnung lässt sich nicht einfach nach Eigentum am Server sortieren. EC2-Instanzen, RDS-Datenbanken, Redshift-Cluster und Lambda-Funktionen trägt laut AWS das teilnehmende Konto. Öffentliche IPv4-Adressen, die im geteilten VPC genutzt werden, stellt AWS dem VPC-Eigentümer in Rechnung. Der Nutzer eines Servers sieht dessen Adresse möglicherweise nicht im eigenen Kostenbericht.

Auch der Verkehr hat mehrere Kostenträger. AWS ordnet dem Teilnehmer Transferkosten zwischen Availability Zones, über VPC-Peering, Internet-Gateways und Direct-Connect-Gateways zu. Anwendbare Stunden-, Verarbeitungs- und Transferentgelte für NAT-Gateways, virtuelle private Gateways, Transit-Gateways, PrivateLink und VPC-Endpunkte liegen beim Eigentümer. Dieselbe Anwendung kann daher im einen Konto Transfer und im anderen Konto ein Gateway belasten. Wer nur die Anwendungsrechnung betrachtet, unterschätzt den Preis der gewählten Verbindung.

Eine wichtige Grenze benennt AWS ausdrücklich: Datentransfer innerhalb derselben Availability Zone, bestimmt über die AZ-ID, ist unabhängig vom Eigentum der beteiligten Konten kostenlos. Sobald ein Dienst über eine andere Zone oder einen anderen Netzpfad kommuniziert, kann sich der Kostenmix ändern, obwohl keine zusätzliche Maschine gestartet wurde. Die öffentlichen Regeln belegen keine konkrete Kundenrechnung. Dafür braucht es Nutzungsdaten beider Konten und den tatsächlichen Pfad.

Wer das Gateway bedienen darf, trägt dessen Zähler

Subnetze, Routingtabellen, NAT-Gateways und Endpunkte liegen in der Hand des VPC-Eigentümers. Teilnehmer können eigene Netzschnittstellen und Sicherheitsgruppen verwalten. Ein NAT-Gateway im geteilten Subnetz können sie jedoch weder anlegen noch löschen oder beschreiben. Die Zentralisierung hat einen nachvollziehbaren Preis: Das Team mit der Schaltgewalt erhält die zentralen Netzwerkgebühren. Das Anwendungsteam kann zugleich seine Nutzung ausweiten, ohne diese Gebühren unmittelbar in seiner Kontorechnung zu spüren.

Bei öffentlichen IPv4-Adressen wird die Asymmetrie greifbar. AWS nennt für eine gewöhnliche genutzte oder ungenutzte öffentliche IPv4-Adresse 0,005 US-Dollar pro Stunde, sekundengenau mit mindestens 60 Sekunden. Für Adressen im geteilten VPC weist die spezielle Abrechnungsseite den Eigentümer als Zahler aus. Weder Adresszahl noch Rechnungsbetrag eines bestimmten Kunden stehen in den Quellen. Eine interne Zuordnung verlangt daher ein Inventar der Adressen je Teilnehmer und den Abgleich mit der Eigentümerkontorechnung.

Die Freigabe endet, die Belegung bleibt

Der Eigentümer kann die Freigabe eines Subnetzes beenden. Danach darf ein Teilnehmer dort keine neuen Ressourcen anlegen. Seine vorhandenen Ressourcen laufen weiter und können von ihm geändert oder entfernt werden. Solange sie bleiben, darf der Eigentümer das Subnetz oder das geteilte VPC nicht löschen. Ein administratives Ende des Teilens ist keine technische Räumung.

Die Firma sollte vor der Freigabe festlegen, wie sie Adressen und gemeinsame Gateways intern bepreist und wer bei einer Trennung Ressourcen entfernt. Sonst zeigen Anwendungs- und Netzteam zwei richtige, aber unvollständige Rechnungen vor und streiten über eine Kostendifferenz, die bereits im Betriebsmodell angelegt war.

Quellen