Summary

  • Dans un sous-réseau partagé entre comptes d’une même organisation AWS, le participant paie ses ressources applicatives, notamment EC2, RDS, Redshift et Lambda, ainsi que les transferts désignés entre zones de disponibilité, par appairage VPC, passerelle internet et Direct Connect.
  • Le propriétaire du VPC paie les IPv4 publiques utilisées dans ce VPC et les frais applicables aux passerelles NAT, à PrivateLink et aux points de terminaison. L’arrêt du partage bloque les nouvelles ressources du participant, mais laisse fonctionner les anciennes et empêche la suppression du sous-réseau tant qu’elles subsistent.

Une adresse qui ne suit pas son serveur

AWS permet à plusieurs comptes d’une même organisation de placer leurs applications dans des sous-réseaux contrôlés par un compte central. L’entreprise obtient une topologie commune et conserve des comptes distincts pour les accès et la facturation. Encore faut-il lire la ligne qui précise quelle facturation. La documentation d’AWS attribue les instances EC2, bases RDS, clusters Redshift et fonctions Lambda au participant qui les exploite. Elle attribue au propriétaire du VPC les adresses IPv4 publiques utilisées dans le réseau partagé. Le serveur et son adresse peuvent donc se retrouver dans deux budgets.

Le trafic se répartit avec la même précision. Les participants paient les transferts associés au passage entre zones de disponibilité, à l’appairage VPC, aux passerelles internet et à Direct Connect. Les frais horaires, de traitement et de transfert applicables aux passerelles NAT, passerelles privées virtuelles, passerelles de transit, à PrivateLink et aux points de terminaison reviennent au propriétaire. Une application peut ainsi faire monter sa propre ligne de transfert tout en consommant un équipement payé par le réseau central. Additionner uniquement les dépenses du compte applicatif revient à mesurer la maison sans ses accès.

AWS précise que le transfert dans une même zone de disponibilité, identifiée par son AZ ID, est gratuit même lorsque les ressources appartiennent à des comptes différents. Le trajet compte donc autant que la quantité de données. Une modification de placement peut changer la facture sans augmenter le nombre de serveurs. Pour attribuer un montant à une équipe, il faut les relevés des comptes et le chemin réellement emprunté; les règles publiques ne donnent pas de facture client.

Celui qui choisit la passerelle reçoit la note

Le propriétaire gère les sous-réseaux, tables de routage, passerelles NAT et points de terminaison. Le participant peut gérer ses propres interfaces réseau et groupes de sécurité; il ne peut ni créer, ni supprimer, ni même décrire une passerelle NAT du sous-réseau partagé. La direction du réseau et sa facture centrale se rencontrent donc dans le même compte. L’équipe applicative, elle, peut faire croître son activité sans voir directement le prix de chaque équipement central qu’elle utilise.

La ligne IPv4 rend l’écart facile à observer. Le tarif VPC standard d’AWS affiche 0,005 dollar par adresse IPv4 publique et par heure, qu’elle soit utilisée ou inactive, avec un calcul à la seconde et un minimum de 60 secondes. Dans le VPC partagé, le guide de facturation place les adresses publiques utilisées du côté du propriétaire. Ce dernier doit rapprocher le nombre d’adresses par participant de sa propre facture, faute de quoi la hausse apparaît comme un coût commun sans demandeur identifiable.

Rendre la clé ne vide pas le bâtiment

Le propriétaire peut cesser de partager un sous-réseau. Les participants ne pourront plus y créer de nouvelles ressources. Celles qui existent continuent de fonctionner; le participant peut encore les modifier ou les supprimer. Tant qu’elles restent en place, le propriétaire ne peut effacer ni le sous-réseau ni le VPC partagé. Une décision administrative sur le partage n’est donc pas un plan de sortie technique.

Le marché interne doit être fixé avant l’installation des locataires: qui finance les adresses, comment répartir les passerelles et qui retire les ressources à la fin? AWS sépare proprement les comptes. C’est à l’entreprise de relier ceux qui demandent une adresse à ceux qui en reçoivent la facture.

Sources