Como associar uma zona hospedada privada do Route 53 a uma VPC em outra conta?

Breve descrição

Para associar uma zona hospedada privada do Route 53 a uma Amazon VPC em outra conta, autorize a associação a partir da conta proprietária da zona hospedada. Em seguida, crie a associação a partir da conta proprietária da Amazon VPC.

Resolução

Observação: se você receber erros ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

Pré-requisitos:

• Acesso às duas contas.
• Uma instância do Amazon Elastic Compute Cloud (Amazon EC2) em cada conta ou a AWS CLI em sua máquina local com credenciais para ambas as contas.
• Permissões do AWS Identity and Access Management (AWS IAM) para gerenciar o Route 53 na Conta A e associar VPCs a zonas hospedadas na Conta B.

A resolução a seguir usa uma instância do EC2 na Conta A e outra na Conta B. A conta A é a conta que tem a zona hospedada e a Conta B é a conta que tem a VPC.

Autorizar a associação na Conta A

Conclua as seguintes etapas:

1. Conecte-se à instância ou configure as credenciais da AWS CLI para a Conta A.

2. Configure a AWS CLI para usar as credenciais de um usuário do IAM que tenha acesso ao Route 53.

3. Na instância, execute o comando list-hosted-zones para listar suas zonas hospedadas:

   aws route53 list-hosted-zones

   Observação: na saída do comando, anote o ID da zona hospedada que você deseja associar.

4. Na instância, execute o comando list-vpc-association-authorizations para verificar as autorizações existentes da associação Amazon VPC:

   aws route53 list-vpc-association-authorizations --hosted-zone-id hosted-zone-id

   Observação: a saída do comando anterior lista as VPCs de outras contas que é possível associar à sua zona hospedada privada. As contas listadas são as contas para as quais você enviou solicitações CreateVPCAssociationAuthorization.

5. Se a VPC que está na Conta B não estiver listada, execute o comando create-vpc-association-authorization para criar uma autorização na Conta A:

   aws route53 create-vpc-association-authorization --hosted-zone-id hosted-zone-id --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1

   Observação: substitua hosted-zone-id pelo ID da sua zona hospedada, region pela região da AWS onde sua VPC está e VPC Id pelo ID da sua VPC. Se você estiver em uma Região diferente de us-east-1 ou se suas credenciais estiverem associadas a uma Região que não seja us-east-1, inclua \ --region us-east-1.

Crie a associação na Conta B

Conclua as seguintes etapas:

1. Conecte-se à instância ou configure as credenciais da AWS CLI para a Conta B.

2. Para criar a associação, execute o comando associate-vpc-with-hosted-zone:

   aws route53 associate-vpc-with-hosted-zone --hosted-zone-id hosted-zone-id --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1

   Observação: para executar o comando anterior, use um usuário ou perfil do IAM que tenha as permissões de API AssociateVPCWithHostedZone e DescribeVpcs. Além disso, substitua hosted-zone-id pelo ID da sua zona hospedada, region pela região da AWS onde sua VPC está e VPC Id pelo ID da sua VPC. Se você estiver em uma região diferente de us-east-1 ou se suas credenciais estiverem associadas a uma região que não seja us-east-1, inclua --region us-east-1.

O status da associação pode ser exibido como PENDENTE porque a VPC não pode usar a zona hospedada privada para realizar a resolução de DNS. Pode levar alguns minutos para que a associação seja concluída e as alterações se propaguem.

Excluir a autorização da associação

Depois de criar a associação, é uma prática recomendada excluir a autorização da associação para que você não recrie a mesma associação.

Para excluir a autorização, reconecte-se à instância na Conta A e execute o comando delete-vpc-association-authorization:

aws route53 delete-vpc-association-authorization --hosted-zone-id hosted-zone-id  --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1

Observação: substitua hosted-zone-id pelo ID da sua zona hospedada, region pela região da AWS onde sua VPC está e VPC Id pelo ID da sua VPC. Se você estiver em uma região diferente de us-east-1 ou se suas credenciais estiverem associadas a uma região que não seja us-east-1, inclua --region us-east-1.

Verificar a associação

Para confirmar se a VPC está associada à zona hospedada privada, conclua as seguintes etapas:

1. Abra o console do Route 53.
2. Selecione seu domínio de zona hospedada privada.
3. Na seção Detalhes da zona hospedada, verifique se o ID da VPC da Conta B aparece.

Depois de concluir a associação, as instâncias na VPC da Conta B podem resolver registros na zona hospedada privada da Conta A.

Informações relacionadas

Como trabalhar com zonas hospedadas privadas

Uso de políticas baseadas em identidade (políticas IAM) para o Amazon Route 53