Comment associer une zone hébergée privée Route 53 à un VPC dans un autre compte AWS ?

Brève description

Pour associer une zone hébergée privée Route 53 à un Amazon VPC dans un autre compte, autorisez l'association depuis le compte propriétaire de la zone hébergée. Créez ensuite l'association à partir du compte propriétaire de l'Amazon VPC.

Résolution

Remarque : Si des erreurs surviennent lorsque vous exécutez des commandes de l'interface de la ligne de commande AWS (AWS CLI), consultez la section Résoudre des erreurs liées à l’AWS CLI. Vérifiez également que vous utilisez bien la version la plus récente de l’AWS CLI.

Prérequis :

• Accès aux deux comptes.
• Soit une instance Amazon Elastic Compute Cloud (Amazon EC2) dans chaque compte, soit l'AWS CLI sur votre ordinateur local avec des informations d'identification pour les deux comptes.
• Autorisations de Gestion des identités et des accès AWS (AWS IAM) pour gérer Route 53 sur le compte A et associer les VPC aux zones hébergées sur le compte B.

La résolution suivante utilise une instance EC2 dans le compte A et une autre dans le compte B. Le compte A est le compte qui utilise la zone hébergée et le compte B est celui qui utilise le VPC.

Autoriser l'association dans le compte A

Procédez comme suit :

1. [Connectez-vous à l'instance ou configurez les informations d'identification de l'AWS CLI](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-sso.html) pour le compte A.

2. Configurez l'AWS CLI pour utiliser les informations d'identification d'un utilisateur IAM ayant accès à Route 53.

3. Dans l'instance, exécutez la commande list-hosted-zones pour répertorier vos zones hébergées :

   aws route53 list-hosted-zones

   Remarque : À partir de la sortie de la commande, notez l'ID de zone hébergée que vous souhaitez associer.

4. Dans l'instance, exécutez la commande list-vpc-association-authorizations pour vérifier les autorisations d'association d’Amazon VPC existantes :

   aws route53 list-vpc-association-authorizations --hosted-zone-id hosted-zone-id

   Remarque : La sortie de commande précédente répertorie les VPC d'autres comptes que vous pouvez associer à votre zone hébergée privée. Les comptes répertoriés sont ceux pour lesquels vous avez soumis des requêtes CreateVPCAssociationAuthorization.

5. Si le VPC du compte B n'est pas répertorié, exécutez la commande create-vpc-association-authorization pour créer une autorisation dans le compte A :

   aws route53 create-vpc-association-authorization --hosted-zone-id hosted-zone-id --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1

   Remarque : Remplacez hosted-zone-id par l'ID de votre zone hébergée, region par la région AWS dans laquelle se trouve votre VPC, et VPC Id par l'ID de votre VPC. Si vous vous trouvez dans une région différente de us-east-1 ou si vos informations d'identification sont associées à une région qui n'est pas us-east-1, incluez --region us-east-1.

Créer l'association dans le compte B

Procédez comme suit :

1. Connectez-vous à l'instance ou configurez les informations d'identification de l'AWS CLI pour le compte B.

2. Pour créer l'association, exécutez la commande associate-vpc-with-hosted-zone :

   aws route53 associate-vpc-with-hosted-zone --hosted-zone-id hosted-zone-id --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1

   Remarque : Pour exécuter la commande précédente, utilisez un utilisateur ou un rôle IAM disposant des autorisations d'API AssociateVPCWithHostedZone et DescribeVpcs. Remplacez également hosted-zone-id par l'ID de votre zone hébergée, region, par la région AWS dans laquelle se trouve votre VPC, et VPC Id par l'ID de votre VPC. Si vous vous trouvez dans une région différente de us-east-1 ou si vos informations d'identification sont associées à une région qui n'est pas us-east-1, incluez --region us-east-1. 

L'état de l'association peut apparaître comme EN ATTENTE car le VPC ne peut pas utiliser la zone hébergée privée pour effectuer une résolution DNS. La fin de l'association et la propagation des modifications peuvent prendre quelques minutes.

Supprimer l'autorisation de l'association

Une fois que vous avez créé l'association, il est recommandé de supprimer l'autorisation d'association afin de ne pas recréer la même association.

Pour supprimer l'autorisation, reconnectez-vous à l'instance dans le compte A, puis exécutez la commande delete-vpc-association-authorization :

aws route53 delete-vpc-association-authorization --hosted-zone-id hosted-zone-id  --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1

Remarque : Remplacez hosted-zone-id par l'ID de votre zone hébergée, region par la région AWS dans laquelle se trouve votre VPC, et VPC Id par l'ID de votre VPC. Si vous vous trouvez dans une région différente de us-east-1 ou si vos informations d'identification sont associées à une région qui n'est pas us-east-1, incluez --region us-east-1.

Vérifier l'association

Pour confirmer que le VPC est associé à la zone hébergée privée, procédez comme suit :

1. Ouvrez la console Route 53.
2. Sélectionnez le domaine de votre zone hébergée privée.
3. Dans la section Détails de la zone hébergée, vérifiez que l'ID du VPC du compte B apparaît.

Une fois l'association terminée, les instances du VPC du compte B peuvent résoudre les enregistrements dans la zone hébergée privée du compte A.

Informations connexes

Utilisation de zones hébergées privées

Utilisation de politiques basées sur l'identité (politiques IAM) pour Amazon Route 53