Route 53 プライベートホストゾーンへオンプレミスの DNS サーバーからサブドメインを委任できるようになったので試してみた #AWS

先日 AWS から Route 53 リゾルバーのエンドポイントを使ったプライベートホストゾーンへのサブドメインの委任がサポートされたとの発表がありました。

domain name system (DNS) delegation for private hosted zone subdomains can be used with Route 53 inbound and outbound Resolver endpoints. This allows you to delegate the authority for a subdomain from your on-premises infrastructure to the Route 53 Resolver cloud service and vice versa,

これまで Route 53 側へサブドメインを委任することはサポートされていませんでした。

そのため、例えば閉域のオンプレミスに独自ドメインの権威 DNS サーバーがあり AWS の VPC でも独自ドメインのサブドメインを使う場合は次の構成が必要でした。

まず、Route 53 プライベートホストゾーンでサブドメインを管理するところまではよいのですが、オンプレミスの権威 DNS サーバーから見ると Route 53 プライベートホストゾーンは委任関係になく、完全に独立したものでした。

そのため、オンプレミスのリゾルバー DNS サーバーにサブドメインに対する条件付きフォワーダーを設定し、このサブドメインを管理している Route 53 プライベートホストゾーンが関連付けられている VPC にある Route 53 インバウンドエンドポイントへオンプレミスからの名前解決クエリを転送する必要がありました。

しかし今回、Route 53 インバウンドエンドポイントを使って Route 53 プライベートホストゾーンへのサブドメインの委任ができるようになったため、従前どおりサブドメインは Route 53 プライベートホストゾーンで管理しつつ、オンプレミスの権威 DNS サーバーから Route 53 側へのサブドメインの委任の設定をするだけで、オンプレミスと AWS の VPC で一貫した名前解決ができるようになりました。

この構成は閉域で使う地方自治体の基幹システムのガバメントクラウド利用の場面でも使えると思い、早速自宅の環境で検証してみました。

Route 53 プライベートホストゾーンへの DNS 委任の概要

acl "cache-server" {
  10.1.1.3/32; // リゾルバー DNS サーバーの IP アドレス
};

options {
        listen-on port 53 { 10.1.1.2; }; // 権威 DNS サーバーの IP アドレス
        directory       "/var/named";
        allow-query     { cache-server; };
        allow-recursion { cache-server; }; // 委任先への再帰問合せとなるようなので有効に
        allow-query-cache { cache-server; }; // キャッシュ問合せも許可が必要だった

        recursion yes; // 委任先への再帰問合せとなるようなので有効に

        include "/etc/named.intra.morori.jp.zones";
        
        // その他の設定は省略
};

zone "intra.morori.jp" {
        type master;
        file "intra.morori.jp.db";
};

$TTL 86400
@       IN      SOA     ns1.intra.morori.jp.    root.morori.jp. (
        2025062801
        28800
        14400
        3600000
        86400
)
        IN      NS      ns1
        IN      MX 10   smtp

ns1     IN      A       10.1.1.2
ns2     IN      A       10.1.1.3
smtp    IN      A       10.1.1.4

delegate-test        IN      NS      ns1.delegate-test // 任意のホスト名で OK、Glue レコードを忘れないように
delegate-test        IN      NS      ns2.delegate-test // 同上
ns1.delegate-test    IN      A       10.128.130.26 // Glue レコードは Route 53 インバウンドエンドポイントの IP アドレスにする
ns2.delegate-test    IN      A       10.128.28.1 // 同上

acl "intranets" {
  10.1.0.0/16; # オンプレミスのサブネット
  10.128.0.0/16; # VPC のサブネット
};

options {
        listen-on port 53 { 10.1.1.3; }; # リゾルバー DNS サーバーの IP アドレス
        allow-query     { localhost; intranets; };
        recursion yes;
        dnssec-validation no; // yes だと転送に失敗するので注意
};

zone "." IN {
        type hint;
        file "named.ca";
};

include "/etc/named.rfc1912.zones";
include "/etc/intra.morori.jp.zones";

zone "intra.morori.jp" IN {
        type forward;
        forward only;
        forwarders { 10.1.1.2; }; # オンプレミスのドメインの権威 DNS サーバーの IP アドレス
};