Lộ trình 53 - ủy quyền nhiều tài khoản của bản ghi APEX

Aug 16 2020

Chúng tôi đang triển khai ngăn xếp không máy chủ AWS với nhiều môi trường. Cố gắng làm theo các phương pháp hay nhất, chúng tôi đã tạo nhiều tài khoản cho các mục đích khác nhau.

Có một tài khoản DNS , được cho là chứa tất cả các vùng được lưu trữ liên quan đến dự án này. Nó có một khu vực được lưu trữ cho example.org.

Chúng tôi có nhiều môi trường và một tài khoản tương ứng cho mỗi môi trường. Hiện tại, tôi sẽ tập trung vào devprod .

Đây là cách cấu hình máy chủ lưu trữ sẽ trông như thế nào:

PHÁT TRIỂN

  • app.dev.example.org (Phân phối CloudFront trong tài khoản nhà phát triển)
  • login.dev.example.org (phân phối CloudFront cho giao diện người dùng được lưu trữ trên máy chủ ẩn danh trong tài khoản nhà phát triển)
  • api.dev.example.org (Cổng API trong tài khoản nhà phát triển)
  • cdn.dev.example.org (Phân phối CloudFront trong tài khoản nhà phát triển)

SẢN XUẤT

  • example.org (Phân phối CloudFront trong tài khoản sản phẩm)
  • login.example.org (Phân phối CloudFront cho Giao diện người dùng được lưu trữ trên Cognito trong tài khoản sản phẩm)
  • api.example.org (API Gateway trong tài khoản sản phẩm)
  • cdn.example.org (Phân phối CloudFront trong tài khoản sản phẩm)

dev rất đơn giản. Thiết lập bản ghi NS cho subdomain dev.example.orgsử dụng máy chủ NS từ khu vực tổ chức dev.example.orgtrong dev tài khoản và nó được thực hiện.

sản là phức tạp, vì chúng tôi muốn sử dụng bản ghi APEX example.org. Thêm vào đó, login.example.org, api.example.orgcdn.example.orgkhông có một tên miền phụ chung.

Tìm kiếm các giải pháp khả thi, tôi đã đưa ra các tùy chọn sau:

  1. example.orgThay vào đó, hãy tạo vùng được lưu trữ cho trong tài khoản sản xuất. Đại biểu các tên miền phụ để các tài khoản khác (ví dụ dev ) từ đó.
  2. (Không chắc chắn): Tạo một tập hợp ủy quyền có thể sử dụng lại. Bằng cách này, hai vùng được lưu trữ có thể được tạo (nếu tôi hiểu đúng), một trong tài khoản DNS và một trong tài khoản sản . Họ sẽ chia sẻ cùng một máy chủ tên. Mặc dù vậy, tôi không thể tìm hiểu xem điều này có hoạt động trên nhiều tài khoản hay không và chưa kiểm tra nó.
  3. (Không chắc chắn): Thiết lập các vùng được lưu trữ trong sản phẩm cho từng login.example.org, api.example.orgcdn.example.org. Điều này sẽ cho phép thiết lập các bản ghi APEX của miền phụ từ bên trong prodtài khoản. Đây không phải là giải pháp cho bản ghi APEX của example.org. Bên cạnh đó, đó là 3 vùng được lưu trữ bổ sung (chỉ để hoàn thành giải pháp thay thế).

Tôi muốn xem liệu mình có bỏ sót điều gì cơ bản ở đây không và / hoặc liệu có ai ngoài đó gặp phải tình huống tương tự và giải pháp thay thế / tốt hơn không. Trường hợp sử dụng đó không nên quá kỳ lạ?

Trả lời

MLu Aug 17 2020 at 05:04

Chọn 1 - đó là cách dễ nhất.

Hoặc 4 - Sử dụng quyền truy cập nhiều tài khoản để chèn bản ghi vào vùng trong tài khoản "dns" từ tài khoản "prod".

Cũng lưu ý rằng các bản ghi ALIAS có thể trỏ đến các tài nguyên trong các tài khoản khác, chúng không nhất thiết phải ở trong cùng một tài khoản.

Hy vọng rằng sẽ giúp :)