Come posso associare una zona ospitata privata di Route 53 a un VPC su un altro account AWS?

Soluzione

Nella soluzione seguente, utilizza una di queste opzioni per eseguire i comandi:

• **Opzione 1:**interfaccia della linea di comando AWS (AWS CLI). Questa soluzione utilizza due istanze Amazon Elastic Compute Cloud (Amazon EC2) esemplificative: una nell'account A e l'altra nell'account B. Se non disponi di due istanze Amazon EC2 o non disponi dell'accesso necessario per avviare le nuove istanze EC2, utilizza l'interfaccia della linea di comando AWS sul computer locale. Utilizza le credenziali di AWS Identity and Access Management (IAM) corrette di entrambi gli account. Per ulteriori informazioni, consulta Utilizzo di un profilo denominato attivato tramite il Centro identità IAM.
  Nota: se ricevi errori durante l'esecuzione dei comandi dell'interfaccia della linea di comando AWS, assicurati di utilizzare la versione più recente di AWS CLI.
• Opzione 2: AWS CloudShell (senza installare l'interfaccia della linea di comando AWS).

Nota: per questa procedura puoi inoltre utilizzare l'SDK AWS o l'API di Route 53.

1.    Connettiti a un'istanza EC2 nell'account A.

2.    Se utilizzi l'interfaccia della linea di comando AWS, esegui il comando seguente per aggiornarne la versione. Configura l'interfaccia della linea di comando AWS in modo da utilizzare le credenziali di un utente AWS Identity and Access Management (IAM) con accesso a Route 53.

pip3 install awscli --upgrade --user

3.    Nell'istanza EC2 dell'account A, esegui il comando seguente per elencare le zone ospitate disponibili. Annota l'ID della zona ospitata nell'account A da associare all'account B.

aws route53 list-hosted-zones

4.    Nell'istanza EC2 dell'account A, esegui il comando seguente. L'output del comando elenca i VPC di altri account che è possibile associare alla zona ospitata privata. Gli account elencati nell'output del comando sono quelli per cui hai inviato una o più richieste CreateVPCAssociationAuthorization.

aws route53 list-vpc-association-authorizations --hosted-zone-id <hosted-zone-id>

Nota: se il VPC nell'account B non viene visualizzato nell'elenco delle autorizzazioni per l'associazione VPC, procedi al passaggio 5. In caso contrario, procedi al passaggio 6.

5.    Nell'istanza EC2 dell'account A, esegui il comando seguente. Tale comando autorizza l'associazione tra la zona ospitata privata nell'account A e il VPC nell'account B. Nel comando seguente, utilizza l'ID della zona ospitata ottenuto nel passaggio precedente. Usa la regione AWS e l'ID del VPC nell'account B.

Nota: includi \ --region nel comando se si verifica uno degli scenari seguenti:

• Il comando viene eseguito in un'istanza EC2 di una regione diversa.
• Le credenziali dell'utente sono associate a una regione diversa da us-east-1.

aws route53 create-vpc-association-authorization --hosted-zone-id <hosted-zone-id> --vpc VPCRegion=<region>,VPCId=<vpc-id> --region us-east-1

6.    Connettiti a un'istanza EC2 nell'account B.

7.    Nell'istanza EC2 dell'account B, esegui il comando seguente. Questo comando crea un'associazione tra la zona ospitata privata nell'account A e il VPC nell'account B. Usa l'ID della zona ospitata del passaggio 3. Usa la regione e l'ID del VPC nell'account B.

Nota: utilizza un utente o un ruolo IAM con autorizzazioni API AssociateVPCWithHostedZone e DescribeVpcs per eseguire il comando seguente nell'account B.

aws route53 associate-vpc-with-hosted-zone --hosted-zone-id <hosted-zone-id> --vpc VPCRegion=<region>,VPCId=<vpc-id> --region us-east-1

Nota: l'output di esempio potrebbe mostrare lo stato IN SOSPESO. Ciò si verifica quando il VPC non può utilizzare la zona ospitata privata per eseguire la risoluzione DNS. L'associazione tra la zona ospitata privata e il VPC, nonché la propagazione delle modifiche, potrebbero richiedere alcuni minuti./p>

8.    Una best practice consiste nell'eliminare l'autorizzazione di associazione dopo aver creato l'associazione. Questo passaggio impedisce di ricreare la stessa associazione in un secondo momento. Per eliminare l'autorizzazione, riconnettiti all'istanza EC2 nell'account A ed esegui il comando seguente:

aws route53 delete-vpc-association-authorization --hosted-zone-id <hosted-zone-id>  --vpc VPCRegion=<region>,VPCId=<vpc-id> --region us-east-1

9.    Completa i passaggi seguenti per confermare l'associazione tra il VPC e la zona ospitata privata:

Apri la console Route 53.

Seleziona il nome di dominio della zona ospitata privata.

Verifica l'ID VPC dell'account B in Dettagli della zona ospitata.

Le istanze EC2 nel VPC dell'account B possono ora risolvere i record nella zona ospitata privata dell'account A.

Informazioni correlate

Utilizzo di zone ospitate private