¿Cómo soluciono el error «CNAMEAlreadyExists» al configurar un alias de CNAME para mi distribución de CloudFront?

Breve descripción

No puedes usar el mismo alias de CNAME para más de una distribución de CloudFront. Cuando el alias de CNAME que quiere añadir ya está asociado a otra distribución de CloudFront, aparece el siguiente error:

«One or more of the CNAMEs you provided are already associated with a different resource. (Service: AmazonCloudFront; Status Code: 409; Error Code: CNAMEAlreadyExists; Request ID: a123456b-c78d-90e1-23f4-gh5i67890jkl*»

Si tienes acceso a las distribuciones de origen y de destino, elimina manualmente la asociación del CNAME de la distribución de CloudFront existente. A continuación, asocia el CNAME a la nueva distribución de CloudFront.

Nota: Para asociar el CNAME de forma manual, es posible que tengas que esperar a que se despliegue el estado de la distribución existente.

Para obtener información parcial sobre la distribución y el ID de cuenta de AWS del alias CNAME conflictivo, ejecuta el comando list-conflicting-aliases de la interfaz de la línea de comandos de AWS (AWS CLI). A continuación, ejecuta el comando associate-alias para mover tu CNAME de la distribución existente (distribución de origen) a la nueva distribución (distribución de destino).

Utiliza una de las siguientes resoluciones en función de tu situación:

• Para ver las distribuciones de origen y destino que están en la misma cuenta, consulta la sección Mover el CNAME.
• Para ver las distribuciones de origen y destino entre cuentas, consulta la sección Desactivación de la distribución de origen con el CNAME conflictivo.
• Si no puedes desactivar la distribución de origen, consulta la sección Uso de un comodín para mover el nombre de dominio alternativo.
  Nota: No puedes usar un comodín para mover un dominio de vértice (ejemplo.com). Para mover un dominio de vértice cuando las distribuciones de origen y destino se encuentran en diferentes cuentas, consulta Contactar con Support para mover un nombre de dominio alternativo.

Resolución

Mover el CNAME

Nota: Si se muestran errores al poner en marcha comandos de AWS CLI, consulta Solución de errores de AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Para mover el CNAME, debes tener acceso tanto a la distribución de origen como a la distribución de destino.

Para mover tu CNAME, sigue estos pasos:

1. En la política de AWS Identity and Access Management (IAM) del usuario o rol que realiza la solicitud de API, agrega los siguientes permisos de nivel de recurso:

   {  "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "CloudFrontCnameSwapSameAcc",
         "Effect": "Allow",
         "Action": [
           "cloudfront:GetDistribution",
           "cloudfront:ListConflictingAliases",
           "cloudfront:AssociateAlias",
           "cloudfront:UpdateDistribution"
         ],
         "Resource": [
           "arn:aws:cloudfront::SourceAcccount:distribution/SourceDistroID",
           "arn:aws:cloudfront::TargetAccount:distribution/TargetDistroID"
         ]
       }
     ]
   }

   Nota: El usuario o rol de IAM debe tener los permisos anteriores en la distribución de origen y la distribución de destino. En la política anterior, sustituye SourceAcccount por el número de cuenta de la distribución de origen y SourceDistroID por el ID de la distribución de origen. Además, sustituye TargetAccount por el número de cuenta de la distribución de destino y TargetDistroID por el ID de la distribución de destino.

2. Ejecuta el comando list-conflicting-aliases para buscar la distribución que tiene el CNAME conflictivo:

   aws cloudfront list-conflicting-aliases --distribution-id YourDistributionID --alias YourCNAME

   Nota: Sustituye YourDistributionID por el ID de tu distribución y YourCNAME por el alias del CNAME conflictivo.

3. Para verificar la propiedad, crea un registro DNS TXT para el CNAME que se resuelva con el nombre canónico de la distribución de destino. El registro TXT debe incluir un carácter de subrayado antes del CNAME, el dominio de vértice o el comodín:

   _.example.com.         900   IN   TXT     "dexample123456.cloudfront.net"_cname.example.com.    900   IN   TXT     "dexample123456.cloudfront.net"
   _*.example.com.        900   IN   TXT     "dexample123456.cloudfront.net"

   Nota: Para verificar la propiedad del dominio, debes tener acceso de lectura a YourDistributionID. También debes tener un certificado SSL/TLS que esté asociado a la distribución de CloudFront que proteja el CNAME conflictivo.

4. Comprueba que la distribución de destino tenga un certificado SSL/TLS válido.
   Nota: El nombre del sujeto o el nombre alternativo del sujeto deben coincidir o superponerse con el alias de CNAME. Se recomienda tener un certificado válido emitido por AWS Certificate Manager o una autoridad de certificación (CA) de confianza que figure en la lista de certificados de CA de Mozilla. Para obtener más información, consulta Autoridades de certificación en el sitio web de Mozilla.

5. Ejecuta el comando associate-alias desde la cuenta que posee la distribución de destino:

   aws cloudfront associate-alias --target-distribution-id YourTargeDistributiontID --alias your_cname.example.com

   Nota: Sustituye YourTargeDistributiontID por el ID de la distribución de destino y your_cname.example.com por tu dominio.

Desactivación de la distribución de origen con el CNAME conflictivo

Para las distribuciones de origen y de destino que están en cuentas diferentes, desactiva la distribución de origen que está asociada al dominio conflictivo. A continuación, sigue los pasos de la sección Mover el CNAME.

Para desactivar la distribución de origen asociada al dominio conflictivo, sigue estos pasos:

1. Abre la consola de CloudFront.
2. En el panel de navegación, elige Distribuciones.
3. Selecciona la distribución de origen y, a continuación, elige Desactivar.

Si no tienes acceso a la cuenta que contiene la distribución de origen o si no puedes desactivarla, ponte en contacto con AWS Support.

Uso de un comodín para mover el nombre de dominio alternativo

Si tus distribuciones de origen y de destino están en cuentas diferentes, pero no puedes desactivar la distribución de origen, utiliza un comodín para mover el CNAME.

En el procedimiento siguiente, espera a que cada distribución despliegue completamente las actualizaciones antes de continuar con el siguiente paso.

Para mover el nombre de dominio alternativo, sigue estos pasos:

1. Actualiza la distribución de destino para agregar un CNAME comodín para el nombre de dominio alternativo que deseas mover. Por ejemplo, si tu dominio es www.ejemplo.com, agrega el nombre de dominio alternativo comodín *.ejemplo.com a la distribución de destino.
   Nota: Debes tener un certificado SSL/TLS en la distribución de destino que proteja el nombre de dominio comodín.

2. Actualiza el registro DNS del CNAME para enrutar el tráfico al nombre canónico de la distribución de destino:

   www.example.com.         86400   IN   CNAME     "dexample123456.cloudfront.net"

   Nota: Como el nombre de dominio alternativo sigue asociado a la distribución de origen, la distribución de origen recibe las solicitudes que usan el nombre de dominio alternativo. La distribución de destino recibe las solicitudes solo después de eliminar el nombre de dominio alternativo de la distribución de origen.

3. Actualiza la distribución de origen para eliminar el nombre de dominio alternativo.
   Nota: Durante la actualización, no se interrumpe el tráfico activo. Dado que el nombre de dominio solicitado coincide con el dominio comodín que se agrega a la distribución de destino, el tráfico activo utiliza la configuración de la distribución de destino.

4. Para agregar el nombre de dominio alternativo que deseas mover, actualiza la distribución de destino.

5. Para validar el registro DNS del CNAME, usa dig o una herramienta de consulta de DNS similar:

   dig CNAME www.example.com +shortnslookup example.com

6. (Opcional) Para eliminar el nombre de dominio alternativo comodín, actualiza la distribución de destino.