Wie verknüpfe ich eine private gehostete Route 53-Zone mit einer VPC in einem anderen Konto?

Lesedauer: 4 Minute

Ich möchte meine private gehostete Amazon Route 53-Zone mit einer Amazon Virtual Private Cloud (Amazon VPC) verknüpfen, die zu einem anderen AWS-Konto gehört.

Kurzbeschreibung

Um eine private gehostete Zone von Route 53 mit einer Amazon VPC in einem anderen Konto zu verknüpfen, autorisiere die Verknüpfung von dem Konto aus, dem die gehostete Zone gehört. Erstelle dann die Verknüpfung von dem Konto aus, dem die Amazon VPC gehört.

Lösung

Hinweis: Wenn du beim Ausführen von AWS Command Line Interface (AWS CLI)-Befehlen Fehlermeldungen erhältst, findest du weitere Informationen dazu unter Problembehandlung bei der AWS CLI. Stellen außerdem sicher, dass du die neueste Version von AWS CLI verwendest.

Voraussetzungen:

Zugriff auf beide Konten.
Entweder eine Amazon Elastic Compute Cloud (Amazon EC2)-Instance in jedem Konto oder die AWS-CLI auf dem lokalen Computer mit Anmeldeinformationen für beide Konten.
AWS Identity and Access Management (IAM)-Berechtigungen zur Verwaltung von Route 53 in Konto A und zum Zuordnen von VPCs zu gehosteten Zonen in Konto B.

Die folgende Lösung verwendet eine EC2-Instance in Konto A und eine in Konto B. Konto A ist das Konto, das die gehostete Zone hat, und Konto B ist das Konto, das die VPC hat.

Die Zuordnung in Konto A autorisieren

Führe die folgenden Schritte aus:

Stelle eine Verbindung zur Instance her oder konfiguriere die AWS-CLI-Anmeldeinformationen für Konto A.
Konfiguriere die AWS-CLI so, dass sie die Anmeldeinformationen eines IAM-Benutzers verwendet, der Route 53-Zugriff hat.
Führe in der Instance den Befehl list-hosted-zones aus, um die gehosteten Zonen aufzulisten:
```
aws route53 list-hosted-zones
```
Hinweis: Notiere dir in der Ausgabe des Befehls die ID der gehosteten Zone, die du verknüpfen möchtest.
Führe in der Instance den Befehl list-vpc-association-authorizations aus, um bestehende Amazon VPC-Zuordnungsberechtigungen zu überprüfen:
```
aws route53 list-vpc-association-authorizations --hosted-zone-id hosted-zone-id
```
Hinweis: In der vorangegangenen Befehlsausgabe werden die VPCs anderer Konten aufgeführt, die du der privaten gehosteten Zone zuordnen kannst. Die aufgeführten Konten sind die Konten, für die du CreateVPCAssociationAuthorization-Anfragen eingereicht hast.
Wenn die VPC in Konto B nicht aufgeführt ist, führe den Befehl create-vpc-association-authorization aus, um eine Autorisierung in Konto A zu erstellen:
```
aws route53 create-vpc-association-authorization --hosted-zone-id hosted-zone-id --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1
```
Hinweis: Ersetze hosted-zone-id durch die ID der gehosteten Zone, Region, durch die AWS-Region, in der sich die VPC befindet und VPC-ID durch die ID der VPC. Wenn du dich in einer anderen Region als us-east-1 befinden oder die Anmeldeinformationen einer Region zugeordnet sind, die nicht us-east-1 ist, gib --region us-east-1 ein.

Die Zuordnung in Konto B erstellen

Führe die folgenden Schritte aus:

Stelle eine Verbindung zur Instance her oder konfiguriere die AWS-CLI-Anmeldeinformationen für Konto B.
Um die Zuordnung zu erstellen, führe den Befehl associate-vpc-with-hosted-zone aus:
```
aws route53 associate-vpc-with-hosted-zone --hosted-zone-id hosted-zone-id --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1
```
**Hinweis:**Verwende zum Ausführen des vorherigen Befehls einen IAM-Benutzer oder eine IAM-Rolle mit den API-Berechtigungen AssociateVPCWithHostedZone und DescribeVPCs. Außerdem, ersetze hosted-zone-id durch die ID der gehosteten Zone, Region, durch die AWS-Region, in der sich die VPC befindet und VPC-ID durch die ID der VPC. Wenn du dich in einer anderen Region als us-east-1 befinden oder die Anmeldeinformationen einer Region zugeordnet sind, die nicht us-east-1 ist, gib --region us-east-1 ein.

Der Zuordnungsstatus wird möglicherweise als AUSSTEHEND angezeigt, da die VPC die privat gehostete Zone nicht für die DNS-Auflösung verwenden kann. Es kann einige Minuten dauern, bis die Zuordnung abgeschlossen ist und die Änderungen übernommen werden.

Zuordnungsautorisierung löschen

Nachdem du die Zuordnung erstellt hast, empfiehlt es sich, die Zuordnungsautorisierung zu löschen, damit du nicht dieselbe Zuordnung erneut erstellst.

Um die Autorisierung zu löschen, stelle erneut eine Verbindung zur Instance in Konto A her und führe dann den Befehl delete-vpc-association-authorization aus:

aws route53 delete-vpc-association-authorization --hosted-zone-id hosted-zone-id  --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1

Hinweis: Ersetze hosted-zone-id durch die ID der gehosteten Zone, Region, durch die AWS-Region, in der sich die VPC befindet und VPC-ID durch die ID der VPC. Wenn du dich in einer anderen Region als us-east-1 befinden oder die Anmeldeinformationen einer Region zugeordnet sind, die nicht us-east-1 ist, gib --region us-east-1 ein.

Zuordnung verifizieren

Gehe wie folgt vor, um zu bestätigen, dass die VPC mit der privat gehosteten Zone verknüpft ist:

Öffne die Route-53-Konsole.
Wähle die Domain der privat gehosteten Zone aus.
Vergewissere dich, dass im Abschnitt Details zur gehosteten Zone die ID für die VPC von Konto B angezeigt wird.

Nachdem du die Verknüpfung abgeschlossen hast, können Instances in der VPC von Konto B Datensätze in der privat gehosteten Zone von Konto A auflösen.