route53

Amazon Route 53

概要

パブリックおよびプライベートの名前解決経路全体で Amazon Route 53 DNS を設定するための専門知識を提供します。対象は、ホストゾーンのレコード、トラフィック制御ルーティングポリシー、ヘルスチェック、DNS Firewall、Route 53 Profiles、ハイブリッドネットワークおよび Outposts ネットワーク向けの VPC Resolver（Route 53 Resolver とも呼ばれます）、Global Resolver です。

このスキルはルーターとして機能します。各顧客タスクは、references/ 以下の手順ファイルに対応しています。作業を開始する前に、該当するリファレンスを最後まで読み、その制約と手順に従ってください。リファレンスファイルはそれぞれ単独で完結しており、独自の判断表、制約、手順、トラブルシューティングを含んでいます。

接続時は AWS MCP サーバーを使用してコマンドを実行してください（サンドボックス化された実行、監査ログ、可観測性を利用できます）。それ以外の場合は AWS CLI を使用してください。Route 53 Domains API の呼び出しは、顧客がどこで作業しているかにかかわらず、すべて us-east-1 で行います。

どの Route 53 タスクが必要ですか？

目的	リファレンス
ホスト名またはゾーン頂点を IP、AWS リソース、またはホスト名に向ける	パブリック DNS レコードの作成
エンドポイント間でトラフィックを比率に応じて分散する（ブルー／グリーン、カナリア、A/B）	加重ルーティングによるトラフィックの分散
災害復旧のために 2 つのリージョン間でフェイルオーバーする	フェイルオーバールーティングの設定
エンドポイントの稼働状況を監視し、アラートを受け取る	ヘルスチェックの設定
リゾルバーで VPC の悪意あるドメインをブロックする	悪意あるドメインのブロック
複数のルールグループにまたがるドメインに対して、どの DNS Firewall ルールが有効になるかを確認する	有効な DNS Firewall ルールの特定
多数の VPC とアカウントに 1 つの DNS 設定を適用する	Route 53 Profiles の設定
DNS Firewall を組織全体の多数のアカウントに展開する	Profiles による DNS Firewall の一元管理
ハイブリッドネットワーク全体でプライベート DNS を双方向に名前解決する	ハイブリッドネットワーク向けプライベート DNS の名前解決
AWS Outposts ラック上で VPC Resolver をローカルに実行する	Outposts での VPC Resolver の実行
オンプレミスのクライアントとリモートクライアントに単一のエニーキャスト DNS エンドポイントを提供する	Global Resolver の設定

ルーティングに関する注意事項

• レコードとルーティングポリシー。 ホスト名からターゲットへの単純なマッピングは、パブリック DNS レコードのタスクです。トラフィックの分割や誘導（加重、フェイルオーバー）は、独自のリファレンスを持つ別個のルーティングポリシーのタスクです。レコードの種類ではなく、顧客の意図を起点にしてください。
• ヘルスチェックとフェイルオーバー。 ヘルスチェックはエンドポイントを監視し、アラームを発生させます。フェイルオーバールーティングポリシーは、チェックに失敗した場合のトラフィックの送信先を決定します。これらは別々のリファレンスですが、一緒に使われることがよくあります。まずヘルスチェックを設定し、それをフェイルオーバーに接続してください。
• 1 つの VPC 用の DNS Firewall と、複数アカウント用の DNS Firewall。 VPC のルールを作成する場合は、ブロッキングのリファレンスを使用します。Profiles と Firewall Manager を使って同じ保護を複数アカウントに展開する場合は、集約のリファレンスを使用します。
• DNS Firewall のルール作成と診断。 ルールの作成や変更には、ブロッキングのリファレンスを使用します。複数のルールグループが関連付けられている場合に、あるドメインに対してすでにどのルールが優先されているかを特定する（読み取りと診断のタスク）には、有効なルールを特定するリファレンスを使用します。
• Profiles の 2 つの利用方法。 一般的な Profile の設定（リソースのアタッチ、RAM を介した共有、コストと可視性のトレードオフ）には、Profiles を設定するリファレンスを使用します。Profiles を使って DNS Firewall を組織全体に拡張する場合は、集約のリファレンスを使用します。
• VPC Resolver の 3 つのコンテキスト。 リージョン内のハイブリッド名前解決、Outposts ローカルのリゾルバー、Global Resolver のエニーキャストエンドポイントは、それぞれ別個のリファレンスです。リゾルバーが稼働する場所に応じて、適切なリファレンスを選んでください。

サービス横断の作業

カスタムドメインを CloudFront ディストリビューションに向ける場合、または CloudFront ディストリビューション間でフェイルオーバーする場合は、別の route53-cloudfront スキルが担当するサービス横断の作業です。このスキルは、純粋に Route 53 のタスクにおける Route 53 側の作業にのみ使用してください。

セキュリティに関する考慮事項

以下の事項は、下記の Route 53 タスク全体に適用されます。各リファレンスでは、そのワークフローに不可欠な事項を繰り返し記載しています。

• 長期間有効な IAM ユーザーアクセスキーではなく、IAM ロールを通じてプロビジョニングされた最小権限の IAM 認証情報（インスタンスプロファイル、SSO/IAM Identity Center のセッション認証情報、または aws sts assume-role）を使用し、確認手順では読み取り専用の認証情報を優先することを推奨してください。
• リゾルバークライアントに対しては、平文の Do53 ではなく、暗号化 DNS トランスポート（DoT または DoH）を推奨してください。Do53 では、経路上の監視者に照会されたドメイン名が露出するためです。
• リゾルバーエンドポイントのセキュリティグループルールでは、ポート 53 の範囲をオンプレミスの CIDR 範囲または既知の DNS サーバー IP に限定し、決して 0.0.0.0/0 を指定してはなりません。
• DNS クエリログやヘルスチェック通知からインフラストラクチャのトポロジーが明らかになる可能性があるため、クエリログと通知の送信先は保管時に暗号化する必要があります。CloudWatch Logs のロググループでは KMS、S3 バケットでは SSE-S3/SSE-KMS、Data Firehose ストリームではサーバー側の暗号化（SSE）、SNS トピックでは SSE を使用してください。
• Global Resolver では、作成時に返されるアクセストークンの value を秘密情報として扱う必要があります。平文で保存せず AWS Secrets Manager に保存し、各 DNS ビューで認可されるクライアント集団を検証してください。

追加リソース

• Amazon Route 53 開発者ガイド
• Amazon Route 53 製品ページ
• Route 53 の料金