How do I configure and manage cross-account access for Amazon Route 53 resources? (Como configuro e gerencio o acesso entre contas aos recursos do Amazon Route 53?)

Resolução

Observação: se você receber erros ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

Para configurar o acesso entre contas, crie uma conta DNS central e pelo menos uma conta de membro. A conta DNS central hospeda sua configuração primária do Amazon Route 53, gerencia zonas hospedadas privadas e controla os endpoints do Route 53 Resolver. As contas dos membros contêm recursos que exigem acesso aos serviços de DNS da conta central. Por exemplo, um recurso em uma conta de membro pode exigir resolução de DNS para registros em uma zona hospedada privada em uma conta central.

Configurar as contas

Conclua as seguintes etapas nas contas central e de membros para configurar o encaminhamento:

1. Na conta central, execute o seguinte comando create-hosted-zone para criar uma zona hospedada privada com registros:

   aws route53 create-hosted-zone \  
     --name example.internal \  
     --vpc VPCRegion=us-east-1,VPCId=vpc-xxxxx \  
     --caller-reference $(date +%s)

   Observação: substitua example.internal pelo nome da sua zona hospedada e substitua vpc-xxxxx pelo seu VPCId.
2. Na conta central, execute o seguinte comando create-resolver-endpoint para criar um endpoint de entrada:

   aws route53resolver create-resolver-endpoint \  
     --creator-request-id inbound-endpoint \  
     --direction INBOUND \  
     --ip-addresses \  
        SubnetId=subnet-xxxxx,Ip=10.0.0.10 \  
        SubnetId=subnet-yyyyy,Ip=10.0.1.10 \  
     --security-group-ids sg-xxxxx

   Observação: substitua subnet-xxxxx e subnet-yyyyy por seus SubnetIDs, substitua 10.0.0.10 e 10.0.1.10 por seus endereços IP e substitua sg-xxxxx por seu security-group-id.
3. Na conta de membro, execute o seguinte comando create-resolver-endpoint para criar um endpoint de saída:

   aws route53resolver create-resolver-endpoint \  
     --creator-request-id outbound-endpoint \  
     --direction OUTBOUND \  
     --ip-addresses \  
        SubnetId=subnet-xxxxx \  
        SubnetId=subnet-yyyyy \  
     --security-group-ids sg-yyyyy

   Observação: substitua subnet-xxxxx e subnet-yyyyy por seus subnetIDs e substitua sg-xxxxx por seu security-group-id.
4. Na conta de membro, execute o seguinte comando create-resolver-rule para criar uma regra de resolução de saída:

   aws route53resolver create-resolver-rule \  
     --creator-request-id rule1 \  
     --domain-name example.internal \  
     --rule-type FORWARD \  
     --resolver-endpoint-id rslvr-endpoint-id \  
     --target-ips Ip=10.0.0.10

   Observação: substitua rule1 pelo nome da regra, substitua example.internal pelo nome da zona hospedada, substitua rslvr-endpoint-id pelo resolver-endpoint-id e substitua 10.0.0.10 pelo seu endereço IP.

Use um perfil do Amazon Route 53 para compartilhar recursos

Também é possível usar um perfil do Amazon Route 53 para compartilhar sua zona hospedada privada ou regras de resolução de saída.

Conclua as etapas a seguir:

1. Crie um perfil do Route 53 na conta central.
2. Associe sua zona hospedada privada ou Regra do resolvedor ao seu perfil do Route 53.
3. Use o AWS Resource Access Manager (AWS RAM) para compartilhar o perfil do Route 53 com sua conta de membro.
4. Associe sua Amazon VPC ao perfil do Route 53 que está em sua conta de membro.

Use a Amazon VPC para compartilhar recursos

É possível permitir que os recursos do Amazon Virtual Private Cloud (Amazon VPC) em uma conta de membro acessem registros de zonas hospedadas privadas em sua conta central.

Conclua as etapas a seguir:

1. Crie uma zona hospedada privada na conta central.
2. Associe a zona hospedada privada a uma Amazon VPC na conta de membro.

Use a AWS RAM para compartilhar as regras do Resolver e os recursos da AWS

É possível usar a AWS RAM para compartilhar as regras do Resolvedor e os recursos da AWS a partir da sua conta central.

Também é possível compartilhar as regras do Resolvedor em várias contas que fazem parte do AWS Organizations ou em uma unidade organizacional (UO). Em vez de uma enumeração de cada conta, use a AWS RAM para compartilhar uma regra de resolução de saída com o AWS Organizations.

Conclua as etapas a seguir em sua conta central:

1. Execute o seguinte enable-sharing-with-aws-organization para configurar a AWS RAM:

   aws ram enable-sharing-with-aws-organization

2. Execute o seguinte comando create-resource-share para criar um compartilhamento de recursos para sua regra do Resolvedor:

   aws ram create-resource-share \  
     --name "dns-share" \  
     --resource-arns arn:aws:route53resolver:region:account-id:resolver-rule/resolver-rule  
     --principals arn:aws:organizations::account-id:organization/o-xxxxxxxxxx

   Observação: substitua dns-share pelo nome do compartilhamento de recursos, substitua region pela sua região, substitua account-id pelo seu account-id, substitua resolver-rule pela regra do resolvedor e substitua o-xxxxxxxxxx pela sua organização.

Associe uma regra de resolução externa a uma VPC em sua conta de membro

Conclua as etapas a seguir:

1. Abra o console do Route 53.
2. No painel de navegação, escolha Regras.
3. Escolha a região da AWS em que você criou a regra.
4. Selecione a regra que você deseja associar a uma VPC.
5. Escolha Associar VPC.
6. Em VPCs que usam essa regra, selecione a VPC.
7. Selecione Adicionar.