mcpField
R
route53

route53

github.com/aws云与 DevOps3.3k4.5k 次安装今天更新
代码仓库

关于 route53

用于配置 Amazon Route 53 公共和私有 DNS 解析的流程技能，会将任务分派到记录、流量策略、解析器和 DNS Firewall 等专题指南，并为各流程列出安全约束。

主要功能

  1. 01将任务路由至专题流程
  2. 02配置 DNS 记录与路由策略
  3. 03涵盖运行状况检查和 DNS Firewall
  4. 04指导 Profiles 与混合解析
  5. 05列出安全约束

适用场景

  1. 01将主机名指向 IP 或 AWS 资源
  2. 02设置加权流量分配或故障转移
  3. 03为 VPC 屏蔽恶意域名
  4. 04在混合网络中解析私有 DNS

MCP 相关

连接后，建议通过 AWS MCP 服务执行命令；否则可使用 AWS CLI。

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/aws/agent-toolkit-for-aws --skill route53

安装后在 Claude Code 中输入/route53确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

references/
blocking-malicious-domains.md
centralizing-dns-firewall.md
configuring-failover-routing.md
configuring-route53-profiles.md
creating-a-public-dns-record.md
identifying-the-effective-dns-firewall-rule.md
resolving-private-dns-for-hybrid-networks.md
running-route53-resolver-on-outposts.md
setting-up-a-route53-health-check.md
setting-up-route53-global-resolver.md
splitting-traffic-with-weighted-routing.md

详细介绍

Amazon Route 53

概述

涵盖 Amazon Route 53 DNS 的公有和私有解析路径配置领域知识：托管区记录、流量转向路由策略、运行状况检查、DNS Firewall、Route 53 Profiles、用于混合网络和 Outposts 网络的 VPC Resolver（也称为 Route 53 Resolver），以及 Global Resolver。

此技能是一个路由器。每项客户任务都对应 references/ 下的一个流程文件。执行操作前，请完整阅读匹配的参考文件，然后遵循其中的约束和步骤。参考文件均为自包含文件：每个文件都包含自己的决策表、约束、流程和故障排除说明。

连接后，请使用 AWS MCP 服务执行命令（沙箱化执行、审计日志记录、可观测性）。否则，请改用 AWS CLI。无论客户位于何处，所有 Route 53 Domains API 调用都在 us-east-1 中进行。

你需要执行哪项 Route 53 任务？

目标参考文档
将主机名或区域顶点指向 IP、AWS 资源或主机名创建公有 DNS 记录
按比例将流量分配到多个端点（蓝绿部署、金丝雀发布、A/B 测试）使用加权路由拆分流量
为灾难恢复在两个区域之间进行故障转移配置故障转移路由
监控端点是否正常运行并接收警报设置运行状况检查
在解析器处为 VPC 屏蔽恶意域名屏蔽恶意域名
确定多个规则组中针对某个域名生效的 DNS Firewall 规则识别生效的 DNS Firewall 规则
在多个 VPC 和账户中应用统一的 DNS 配置配置 Route 53 Profiles
在整个组织范围内通过 Profiles 集中管理 DNS Firewall使用 Profiles 集中管理 DNS Firewall
在混合网络中双向解析私有 DNS为混合网络解析私有 DNS
在 AWS Outposts 机架上本地运行 VPC Resolver在 Outposts 上运行 VPC Resolver
为本地客户端和远程客户端提供一个任播 DNS 端点设置 Global Resolver

路由说明

  • 记录与路由策略。 将主机名映射到目标的简单映射属于公共 DNS 记录任务。拆分或引导流量（加权、故障转移）则是单独的路由策略任务，有自己的参考文档。应从客户的意图出发，而不是从记录类型出发。
  • 运行状况检查与故障转移。 运行状况检查用于监控端点并触发警报。故障转移路由策略则决定检查失败时流量的去向。它们对应两个参考文档，通常会配合使用：先设置运行状况检查，再将其接入故障转移。
  • 针对一个 VPC 还是多个账户的 DNS Firewall。 为 VPC 编写规则属于阻止流量的参考文档。通过 Profiles 和 Firewall Manager 将相同的保护扩展到多个账户，则属于集中管理的参考文档。
  • DNS Firewall 规则编写与诊断。 创建或更改规则属于阻止流量的参考文档。如果多个规则组已关联，需要确定某个域名当前由哪条规则生效（读取和诊断任务），则属于识别有效规则的参考文档。
  • Profiles 的两个切入点。 常规 Profile 设置（附加资源、通过 RAM 共享，以及成本和可见性方面的权衡）属于配置 Profiles 的参考文档。专门使用 Profiles 在整个组织范围内扩展 DNS Firewall，则属于集中管理的参考文档。
  • VPC Resolver 的三种场景。 区域内混合解析、Outposts 本地解析器和 Global Resolver 任播端点对应三个不同的参考文档。应根据解析器的运行位置选择参考文档。

跨服务工作

将自定义域名指向 CloudFront 分配，或在 CloudFront 分配之间进行故障转移，属于由独立的 route53-cloudfront 技能负责的跨服务工作。只有纯 Route 53 任务中的 Route 53 部分才使用此技能。

安全注意事项

以下注意事项适用于下方所有 Route 53 任务；每篇参考文档都会重复列出其中对相应工作流至关重要的注意事项。

  • 你 SHOULD 使用通过 IAM 角色（实例配置文件、SSO/IAM Identity Center 会话凭证或 aws sts assume-role）配置的最小权限 IAM 凭证，而不是长期使用 IAM 用户访问密钥；检查操作应优先使用只读凭证。
  • 对于解析器客户端群体，你 SHOULD 建议使用加密的 DNS 传输（DoT 或 DoH），而不是明文 Do53，因为 Do53 会向路径上的观察者暴露查询的域名。
  • 你 MUST 将解析器端点安全组的端口 53 规则限制在本地网络的 CIDR 范围或已知 DNS 服务器 IP，绝不可使用 0.0.0.0/0。
  • 你 MUST 对查询日志和通知目标进行静态加密：对 CloudWatch Logs 日志组使用 KMS，对 S3 存储桶使用 SSE-S3/SSE-KMS，对 Data Firehose 流使用服务器端加密（SSE），对 SNS 主题使用 SSE，因为 DNS 查询日志和运行状况检查通知可能会暴露基础设施拓扑。
  • 对于 Global Resolver，你 MUST 将创建时返回的访问令牌 value 视为机密；应将其存储在 AWS Secrets Manager 中，而不是以明文存储，并验证每个 DNS 视图授权的客户端群体。

其他资源

评论

支持 Markdown