다른 계정의 VPC와 Route 53 프로파일을 공유하는 방법은 무엇인가요?

Short description

Route53 profiles을 소유한 계정 A에서 다른 계정 B의 Amazon VPC와 연결하려면 Profiles을 소유한 계정에서 리소스를 공유하십시오. 그런 다음, 공유할 AWS 계정에서 초대를 수락합니다.

Resolution

참고: AWS Command Line Interface (AWS CLI) 명령어 실행 시 오류가 발생하면, AWS CLI에 대한 오류 문제 해결를 참조하세요. 또한, 최신 버전의 AWS CLI 설치 또는 업데이트가 되어 있는지 확인하세요.

Prerequisites:

• 두 계정에 대한 액세스 권한이 필요합니다.
• Route 53 profiles는 여러 VPC의 DNS 설정을 관리하는 서비스입니다. 프로파일을 업데이트할 때 해당 설정이 프로파일에 연결된 모든 VPC에 전파됩니다.
• Route 53 profiles은 지역 서비스입니다. 규칙을 생성한 동일 리전에서만 VPC를 공유하고 연결할 수 있습니다.

Route 53 profiles 소유자 계정 (계정 A)

시작하기 전에 다음 사항을 고려하세요: 프로파일에서 관리하는 리소스는 다음과 같습니다.

• Private hosted zones
• Route 53 Resolver rules
• DNS firewall rule groups

프로파일에서 관리되는 VPC 구성은 다음과 같습니다.

• Resolver 규칙에 대한 역방향 DNS 조회 구성
• DNS 방화벽 실패 모드 구성
• DNSSEC 검증 구성

다음 단계를 완료하세요:

Route 53 프로파일 생성 (아직 생성하지 않은 경우)

1. AWS CLI에서 create-profile 명령을 실행하여 프로파일을 생성합니다:

aws route53profiles create-profile --name [name]

참고: name에 프로파일 이름을 지정합니다.

2. list-profiles 명령을 실행하여 생성된 프로파일을 확인합니다:

aws route53profiles list-profiles

참고: 명령 출력에서 연결하려는 프로파일 ARN 정보(Arn)를 기록해 두십시오.

Route 53 profiles을 AWS RAM을 통해 공유

3. 생성한 프로파일을 create-resource-share 명령을 실행하여 다른 AWS 계정에 공유합니다:

aws ram create-resource-share --name [name] --resource-arns arn:aws:route53profiles:[region]:[account-a-id]:profile/[rp-profile-id] --principals [account-b-id]

참고: name에 지정한 프로파일 이름을, resource-arns을 2번에서 출력한 ARN을, principals을 공유할 계정 (계정 B) ID로 바꾸십시오.

콘솔에서 공유한 프로파일의 Share status가 "Not shared"에서 "Shared by me"로 변경됩니다.

참고: 멤버로 속한 AWS 조직 계정으로 제한된 리소스 공유를 생성할 경우, 명령어 뒤에 --no-allow-external-principals을 추가합니다:

aws ram create-resource-share --name [name] --resource-arns arn:aws:route53profiles:[region]:[account-a-id]:profile/[rp-profile-id] --principals [account-b-id] --no-allow-external-principals

조직 내 리소스를 공유할 경우, 조직의 보안 주체는 초대를 교환하지 않고도 공유 리소스에 액세스할 수 있습니다.

Route 53 profiles 공유 계정 (계정 B)

리소스 공유 초대 수락

1. get-resource-share-invitations 명령을 실행하여 초대 정보를 확인합니다:

aws ram get-resource-share-invitations

참고: 명령 출력에서 초대받은 ARN 정보(resourceShareInvitationArn)를 기록해 두십시오.

2. accept-resource-share-invitation 명령을 실행하여 초대를 수락합니다:

aws ram accept-resource-share-invitation --resource-share-invitation-arn arn:aws:ram:[region]:[account-a-id]:resource-share/[resource-share-invitation-id]

참고: resource-share-invitation-arn을 1번에서 출력한 ARN로 바꾸십시오.

VPC에 Route 53 profile 연결

3. list-profiles 명령을 실행하여 연결할 Profile을 확인합니다:

aws route53profiles list-profiles

참고: 명령 출력에서 프로파일 Id 정보(Id)를 기록해 두십시오.

4. associate-profile 명령을 실행하여 profile에 VPC를 연결합니다:

aws route53profiles associate-profile --name [name] --profile-id [rp-profile-id] --resource-id [vpc-id]

참고: name에 지정한 프로파일 이름을, profile-id에 3번에서 출력한 Id로, resource-id에 연결하려는 VPC ID로 바꾸십시오.

5. list-profile-associations 명령을 실행하여 연결 상태를 확인합니다:

aws route53profiles list-profile-associations --profile-id [rp-profile-id]

참고: profile-id에 3번에서 출력한 Id로 바꾸고, ResourceId에서 연결된 VPC를 확인하세요.

이제 해당 VPC의 DNS 쿼리는 Route 53 profile 규칙을 따릅니다.

Related information

[1] 설명서 > AWS Route 53 > 공유 Route 53 Profiles 작업
[2] 설명서 > AWS Command Line Interface > AWS CLI를 사용한 AWS RAM 예시
[3] 설명서 > AWS RAM > AWS 리소스 공유