ある企業は、パブリックドメイン example.com を運用している。外部のインターネットユーザーが app.example.com にアクセスするとパブリックなCloudFrontディストリビューションへ、VPC内の

Question

ある企業は、パブリックドメイン example.com を運用している。外部のインターネットユーザーが app.example.com にアクセスするとパブリックなCloudFrontディストリビューションへ、VPC内のワークロードおよびDirect Connect経由のオンプレミスユーザーが同じ app.example.com にアクセスすると内部のプライベートALBへ解決される必要がある（スプリットホライズンDNS）。外部・内部双方の解決を成立させる構成はどれか。

Accepted Answer

正解: example.com のパブリックホストゾーンに加え、同名のプライベートホストゾーンを作成して対象VPCに関連付ける。VPC内では app.example.com をプライベートALBに解決させ、オンプレミス向けにはRoute 53 Resolverのインバウンドエンドポイントを作成し、オンプレDNSから条件付き転送で内部解決させる。スプリットホライズンDNSは、同名のパブリックホストゾーンとプライベートホストゾーンを併用して実現する。VPCに関連付けられたプライベートホストゾーンはVPC内クエリで優先され app.example.com をプライベートALBに解決し、外部からはパブリックホストゾーンがCloudFrontに解決する。オンプレミスからプライベートゾーンを解決させるには、Route 53 Resolverのインバウンドエンドポイントを作成し、オンプレDNSからそのエンドポイントへ条件付き転送する。

選択肢のパブリックホストゾーン単独のフェイルオーバーは、外部にもプライベートALBが公開され名前解決が分離されない。
選択肢のプライベートホストゾーン単独＋アウトバウンドエンドポイントは、外部インターネットユーザーがプライベートゾーンを解決できず、アウトバウンドの用途も誤っている。
選択肢のアウトバウンドエンドポイント＋転送ルールは、VPCからオンプレへクエリを送る方向であり、オンプレからプライベートゾーンを解決する要件には合わない。

Answer

example.com のパブリックホストゾーンのみを使用し、app.example.com にフェイルオーバールーティングを設定する。プライマリにプライベートALB、セカンダリにCloudFrontを指定してヘルスチェックで切り替える — フェイルオーバールーティングはプライマリ障害時にセカンダリへ切り替える可用性向けの機能であり、同一FQDNを利用者の位置で異なる宛先へ解決するスプリットホライズンの要件を満たさない。パブリックゾーン単独ではプライベートALBが外部に露出してしまう。

Answer

example.com のプライベートホストゾーンのみを作成して全VPCとオンプレミスに関連付ける。外部ユーザーにはRoute 53 Resolverのアウトバウンドエンドポイント経由でクエリをCloudFrontへ転送して解決させる — プライベートホストゾーンのみでは外部インターネットユーザーがゾーンを参照できず解決不能になる。またアウトバウンドエンドポイントはVPCからオンプレ等の外部リゾルバへクエリを転送する機能で、外部ユーザーをCloudFrontに導く用途には使えない。

Answer

example.com のパブリックホストゾーンとプライベートホストゾーンを作成し、オンプレミス向けにRoute 53 Resolverのアウトバウンドエンドポイントと転送ルールを作成して、app.example.com のクエリをオンプレDNSへ転送する — アウトバウンドエンドポイントと転送ルールはVPC発のクエリをオンプレDNSへ送る方向であり、オンプレミスからRoute 53のプライベートゾーンを解決させる用途には使えない。オンプレ解決にはインバウンドエンドポイントが必要で、方向が逆である。

解説

解説