Como resolvo o erro “CNAMEAlreadyExists” ao configurar um alias do CNAME para minha distribuição do CloudFront?

Breve descrição

Você não pode usar o mesmo alias do CNAME para mais de uma distribuição do CloudFront. Quando o alias do CNAME que você quer adicionar já está associado a outra distribuição do CloudFront, você recebe o seguinte erro:

“Um ou mais dos CNAMEs que você forneceu já estão associados a um recurso diferente. (Serviço: AmazonCloudFront; Código de status: 409; Código de erro: CNAMEAlreadyExists; ID da solicitação: a123456b-c78d-90e1-23f4-gh5i67890jkl*”

Se você tiver acesso às distribuições de origem e de destino, remova manualmente a associação CNAME da distribuição existente do CloudFront. Em seguida, associe o CNAME à nova distribuição do CloudFront.

Observação: para associar manualmente o CNAME, talvez seja necessário esperar até que o status da distribuição existente seja Implantada.

Para obter informações parciais sobre a distribuição e o ID da conta da AWS para o alias CNAME conflitante, execute o comando list-conflicting-aliases da AWS Command Line Interface (AWS CLI). Em seguida, execute o comando associate-alias para mover seu CNAME da distribuição existente (distribuição de origem) para a nova distribuição (distribuição de destino).

Use uma das seguintes resoluções com base no seu cenário:

• Para distribuições de origem e destino que estão na mesma conta, consulte a seção Mova seu CNAME.
• Para distribuições de origem e destino entre contas, consulte a seção Desativar a distribuição de origem com o CNAME conflitante.
• Se não for possível desativar a distribuição de origem, consulte a seção Usar um curinga para mover o nome de domínio alternativo.
  Observação: Não é possível usar um curinga para mover um domínio apex (exemplo.com). Para mover um domínio apex quando as distribuições de origem e de destino estiverem em contas diferentes, Entre em contato com o suporte para mover um nome de domínio alternativo.

Resolução

Mova seu CNAME

Observação: se você receber erros ao executar comandos da AWS CLI, consulte Solucionar problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

Você deve ter acesso à distribuição de origem e à distribuição de destino para mover o CNAME.

Para mover seu CNAME, realize as etapas a seguir:

1. Na política do AWS Identity and Access Management (IAM) do usuário ou do perfil que está fazendo a solicitação de API, adicione as seguintes permissões em nível de recurso:

   {  "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "CloudFrontCnameSwapSameAcc",
         "Effect": "Allow",
         "Action": [
           "cloudfront:GetDistribution",
           "cloudfront:ListConflictingAliases",
           "cloudfront:AssociateAlias",
           "cloudfront:UpdateDistribution"
         ],
         "Resource": [
           "arn:aws:cloudfront::SourceAcccount:distribution/SourceDistroID",
           "arn:aws:cloudfront::TargetAccount:distribution/TargetDistroID"
         ]
       }
     ]
   }

   Observação: o usuário ou o perfil do IAM deve ter as permissões anteriores na distribuição de origem e na distribuição de destino. Na política anterior, substitua SourceAcccount pelo número da conta da distribuição de origem e sourceDistroid pelo ID da distribuição de origem. Além disso, substitua TargetAccount pelo número da conta da distribuição de destino e TargetDistroID pelo ID da distribuição de destino.

2. Execute o comando list-conflicting-aliases para encontrar a distribuição que tem o CNAME conflitante:

   aws cloudfront list-conflicting-aliases --distribution-id YourDistributionID --alias YourCNAME

   Observação: substitua YourDistributionID pela ID da sua distribuição e YourCNAME pelo alias do CNAME conflitante.

3. Crie um registro DNS TXT para o CNAME que resolva o nome canônico da distribuição de destino para verificar a propriedade. Seu registro TXT deve incluir um sublinhado antes do CNAME, apex ou curinga:

   _.example.com.         900   IN   TXT     "dexample123456.cloudfront.net"_cname.example.com.    900   IN   TXT     "dexample123456.cloudfront.net"
   _*.example.com.        900   IN   TXT     "dexample123456.cloudfront.net"

   Observação: Para verificar a propriedade do domínio, você deve ter acesso de leitura a YourDistributionID. Você também deve ter um certificado SSL/TLS que é associado à distribuição do CloudFront que proteja o CNAME conflitante.

4. Verifique se a distribuição de destino tem um certificado SSL/TLS válido.
   Observação: o nome do assunto ou nome alternativo do assunto deve corresponder ou se sobrepor ao alias do CNAME. É uma prática recomendada ter um certificado válido emitido pelo AWS Certificate Manager ou uma Autoridade de Certificação (CA) confiável que esteja listada na lista de certificados CA da Mozilla. Para obter mais informações, consulte Autoridades de certificação no site da Mozilla.

5. Execute o comando associate-alias na conta que possui a distribuição de destino:

   aws cloudfront associate-alias --target-distribution-id YourTargeDistributiontID --alias your_cname.example.com

   Observação: substitua YourTargeDistributiontID pelo ID da sua distribuição de destino e your_cname.example.com pelo seu domínio.

Desativar a distribuição de origem com o CNAME conflitante

Para distribuições de origem e destino que estão em contas diferentes, desative a distribuição de origem associada ao domínio conflitante. Em seguida, siga as etapas na seção Mova seu CNAME.

Para desativar a distribuição de origem associada ao domínio conflitante, conclua as seguintes etapas:

1. Abra o console do CloudFront.
2. No painel de navegação, escolha Distribuições.
3. Selecione a distribuição de origem e escolha Desativar.

Se você não tiver acesso à conta que contém a distribuição de origem ou se não conseguir desativar a distribuição de origem, entre em contato com o AWS Support.

Usar um curinga para mover o nome de domínio alternativo

Se suas distribuições de origem e de destino estiverem em contas diferentes, mas você não puder desativar a distribuição de origem, use um curinga para mover o CNAME.

No procedimento a seguir, aguarde até que cada distribuição implante totalmente as atualizações antes de prosseguir para a próxima etapa.

Para mover o nome de domínio alternativo, conclua as seguintes etapas:

1. Atualize a distribuição de destino para adicionar um CNAME curinga para o nome de domínio alternativo que você deseja mover. Se seu domínio for www.exemplo.com, adicione o nome de domínio alternativo curinga *.example.com à distribuição de destino.
   Observação: você deve ter um certificado SSL/TLS na distribuição de destino que proteja o nome de domínio curinga.

2. Atualize o registro DNS do CNAME para rotear o tráfego para o nome canônico da distribuição de destino:

   www.example.com.         86400   IN   CNAME     "dexample123456.cloudfront.net"

   Observação: como o nome de domínio alternativo ainda está associado à distribuição de origem, a distribuição de origem recebe as solicitações que usam o nome de domínio alternativo. A distribuição de destino recebe as solicitações somente depois que você remove o nome de domínio alternativo da distribuição de origem.

3. Atualize a distribuição de origem para remover o nome de domínio alternativo.
   Observação: durante a atualização, não há interrupção no tráfego ao vivo. Como o nome de domínio solicitado corresponde ao domínio curinga que você adicionou à distribuição de destino, o tráfego ativo usa as configurações de distribuição de destino.

4. Para adicionar o nome de domínio alternativo que você deseja mover, atualize a distribuição de destino.

5. Para validar o registro DNS para o CNAME, use dig ou uma ferramenta de consulta ao DNS semelhante:

   dig CNAME www.example.com +shortnslookup example.com

6. (Opcional) Para remover o nome de domínio alternativo curinga, atualize a distribuição de destino.