Summary

  • В рамках AWS Organizations участник размещает собственные EC2, RDS, Redshift и Lambda в подсети, предоставленной владельцем VPC. За эти ресурсы и перечисленную AWS передачу данных между зонами доступности, через VPC Peering, интернет-шлюзы и Direct Connect платит участник.
  • Публичные IPv4, используемые в общей VPC, а также применимые сборы за NAT, PrivateLink и конечные точки оплачивает владелец. Если он прекращает предоставлять подсеть, старые ресурсы участника продолжают работать и мешают удалить подсеть или VPC до тех пор, пока участник их не уберёт.

Чей адрес у чужого сервера

Общая VPC позволяет компании сосредоточить сеть в одном аккаунте AWS, а приложения оставить за отдельными командами. Участники получают возможность запускать ресурсы в общих подсетях внутри той же организации. Формула удобна для администрирования, но стоимость сервиса распадается на несколько владельцев. AWS относит инстансы EC2, базы RDS, кластеры Redshift и функции Lambda на счёт участника. Публичные IPv4-адреса, используемые в этой VPC, — на счёт её владельца. Команда видит цену своего сервера, но адрес этого сервера может оказаться в бюджете сетевой команды.

С передачей данных разделение сложнее. Участник оплачивает названные AWS расходы на трафик между зонами доступности, через пиринг VPC, интернет-шлюзы и шлюзы Direct Connect. На владельце лежат применимые почасовые сборы, обработка и передача через NAT, виртуальные частные шлюзы, транзитные шлюзы, PrivateLink и конечные точки VPC. Один путь приложения способен одновременно породить расход на передачу у участника и расход на общий шлюз у владельца. Если сравнивать продукты только по счетам их приложений, сеть окажется искусственно дешёвой.

AWS отдельно указывает, что обмен внутри одной зоны доступности, определяемой через AZ ID, бесплатен независимо от того, чьим аккаунтам принадлежат ресурсы. Поэтому изменение маршрута или размещения может повлиять на плату за передачу без изменения числа машин. Определить реальную сумму для конкретной компании по опубликованным правилам нельзя: нужны записи об использовании обоих аккаунтов и фактический путь трафика.

Право на шлюз и обязанность за него платить

Подсети, таблицы маршрутизации, NAT-шлюзы и конечные точки создаёт и обслуживает владелец VPC. Участник управляет своими сетевыми интерфейсами и группами безопасности, но не может создать, удалить или даже просмотреть описание NAT-шлюза в общей подсети. Централизация даёт сетевой команде контроль и соответствующую часть счёта. У команды приложения остаётся свобода наращивать нагрузку на общий путь, не видя всей стоимости этого пути у себя в отчёте.

Обычная цена публичного IPv4 в прайс-листе VPC AWS — 0,005 доллара за адрес в час, независимо от того, используется он или простаивает; расчёт посекундный, минимум 60 секунд. Специальное правило для общей VPC возлагает плату за используемые там публичные адреса на владельца. Опубликованные документы не содержат ни количества адресов, ни счёта определённого клиента. Чтобы разнести затраты внутри организации, владелец должен сопоставить свои адресные строки с ресурсами участников.

Прекратить делиться — ещё не значит освободить подсеть

Владелец может отменить совместное использование подсети. Участник больше не сможет создавать в ней новые ресурсы, но существующие продолжат работу; участник по-прежнему может их менять или удалять. Пока эти ресурсы остаются, владелец не вправе удалить подсеть или всю общую VPC. Административная кнопка закрывает вход, а не выключает чужое приложение.

Внутренний договор нужен до заселения: кто оплачивает адреса, как считать использование общих шлюзов и кто выводит ресурсы при расставании. Иначе каждый отдел предъявит правильный счёт AWS, но ни один не покажет полную себестоимость услуги.

Источники