Ruta 53 - delegación de cuentas cruzadas de registro APEX

Question

Estamos implementando una pila sin servidor de AWS con varios entornos. Tratando de seguir las mejores prácticas, creamos varias cuentas para diferentes propósitos.

Hay una cuenta de DNS , que se supone que contiene todas las zonas alojadas relacionadas con este proyecto. Tiene una zona alojada para example.org.

Tenemos varios entornos y una cuenta correspondiente para cada uno. Por ahora me centraré en dev y prod .

Así es como debería verse la configuración del host:

DESARROLLO

• app.dev.example.org (distribución de CloudFront en la cuenta de desarrollo)
• login.dev.example.org (distribución de CloudFront para la interfaz de usuario alojada de Cognito en la cuenta de desarrollador)
• api.dev.example.org (API Gateway en la cuenta de desarrollo)
• cdn.dev.example.org (distribución de CloudFront en la cuenta de desarrollo)

PRODUCCIÓN

• example.org (distribución de CloudFront en la cuenta prod)
• login.example.org (distribución de CloudFront para la IU alojada de Cognito en la cuenta prod)
• api.example.org (API Gateway en la cuenta prod)
• cdn.example.org (distribución de CloudFront en la cuenta prod)

dev es sencillo. La creación de registros NS para el subdominio dev.example.orgutilizando servidores de NS de la zona alojada dev.example.orgen dev cuenta y se hace.

prod es complicado, ya que nos gustaría usar el registro APEX de example.org. Adicionalmente, login.example.org, api.example.orgy cdn.example.orgno tener un subdominio común.

Buscando posibles soluciones, se me ocurrieron las siguientes opciones:

1. En su lugar, cree una zona alojada para una example.orgcuenta de producción. Delegue subdominios a otras cuentas (es decir, dev ) desde allí.
2. (No estoy seguro): crea un conjunto de delegación reutilizable. De esta manera se podrían crear dos zonas alojadas (si entendí correctamente), una en la cuenta DNS y otra en la cuenta prod . Estarían compartiendo los mismos servidores de nombres. Sin embargo, no pude averiguar si esto funciona entre cuentas y aún no lo probé.
3. (No estoy seguro): La creación de zonas alojados en prod para cada uno login.example.org, api.example.orgy cdn.example.org. Esto permitiría configurar registros APEX de subdominios desde dentro de la prodcuenta. Esta no es una solución para el registro APEX de example.org. Además, son 3 zonas alojadas adicionales (solo para lograr una solución alternativa).

Quería ver si me pierdo algo fundamental aquí y / o si alguien tiene una situación similar y una alternativa / mejor solución. ¿Ese caso de uso no debería ser demasiado exótico?

Answer 1

Elija 1: eso es lo más fácil.

O 4 - Utilice un acceso de cuentas cruzadas para insertar registros en la zona de la cuenta "dns" desde la cuenta "prod".

También tenga en cuenta que los registros ALIAS pueden apuntar a recursos en otras cuentas, no tienen que estar en la misma.

Espero que ayude :)