Zones hébergées et types d’enregistrements DNS

Amazon Route 53 est le service de système de noms de domaine (DNS) hautement disponible et évolutif d'AWS. Il traduit les noms de domaine lisibles par les humains (comme api.example.com) en adresses IP que les ordinateurs utilisent pour se connecter. Route 53 fournit également l'enregistrement de domaines, des contrôles d'état et des politiques sophistiquées de routage du trafic.

Route 53 est conçu pour être disponible à 100 % (avec un SLA garantissant une disponibilité de 100 %) et est distribué dans les emplacements périphériques AWS du monde entier, ce qui lui permet d'obtenir des temps de réponse aux requêtes inférieurs à 10 ms à l'échelle mondiale.

Une zone hosted publique est un conteneur d'enregistrements DNS qui définissent le routage du trafic Internet pour un domaine. Lorsque vous enregistrez un domaine ou que vous le transférez vers Route 53, une zone hosted publique est créée automatiquement. Vous pouvez également créer une zone hosted pour un domaine enregistré ailleurs et pointer les serveurs de noms du domaine vers Route 53.

Chaque zone hosted coûte des frais mensuels modiques auxquels s'ajoutent des frais par requête. Lorsque vous créez une zone hosted, Route 53 attribue quatre enregistrements de serveurs de noms (NS) ; vous devez les configurer auprès de votre bureau d'enregistrement de domaines pour déléguer la résolution DNS à Route 53.

Une zone hosted privée est associée à un ou plusieurs VPC et ne peut être résolue que depuis ces VPC. Elle permet la découverte de services internes : vos instances EC2 peuvent résoudre database.internal.example.com en adresse IP privée sans exposer ce nom sur Internet public.

Les zones hosted privées sont idéales pour les microservices qui communiquent en interne, les équilibreurs de charge internes et les points de terminaison de bases de données qui ne doivent jamais être accessibles publiquement. Vous pouvez associer plusieurs VPC (y compris entre différents comptes) à une seule zone hosted privée à l'aide de l'API associate-vpc-with-hosted-zone.

Un enregistrement A associe un nom d'hôte à une adresse IPv4 (par exemple, www.example.com → 54.123.45.67). Il s'agit du type d'enregistrement DNS le plus fondamental, utilisé pour toute ressource possédant une adresse IPv4 statique. Un enregistrement AAAA fait de même pour les adresses IPv6.

Pour les ressources AWS dont les adresses IP sont dynamiques (comme un ALB ou une distribution CloudFront), Route 53 fournit des enregistrements ALIAS qui se comportent comme des enregistrements A, mais pointent vers le nom DNS d'une ressource AWS plutôt que vers une adresse IP statique. Les requêtes visant des enregistrements ALIAS sont gratuites, contrairement aux enregistrements standard pointant vers CloudFront ou un ALB, qui entraîneraient des frais pour la résolution intermédiaire.

Un enregistrement CNAME (nom canonique) associe un nom d'hôte à un autre nom d'hôte, et non directement à une adresse IP. Par exemple, www.example.com → d123abc.cloudfront.net. Les CNAME ne peuvent pas être créés à l'apex de la zone (le domaine racine, par exemple example.com lui-même) : il s'agit d'une restriction de la norme DNS.

Les enregistrements ALIAS sont une extension de Route 53 qui se comporte comme des enregistrements A/AAAA, mais pointe vers des ressources AWS par leur nom. Les enregistrements ALIAS peuvent être créés à l'apex de la zone, ce qui en fait le choix approprié pour acheminer example.com (sans www) vers un ALB, CloudFront ou un point de terminaison de site web S3.

Au-delà des enregistrements A et CNAME, Route 53 prend en charge toute la gamme des types d'enregistrements DNS :

• MX : échange de courrier — indique les serveurs de messagerie responsables de la réception des e-mails pour un domaine, avec des valeurs de priorité
• TXT : texte — stocke du texte arbitraire, couramment utilisé pour vérifier la propriété d'un domaine (SES, Google Workspace, validation de certificats SSL) et pour l'authentification des e-mails SPF
• NS : serveur de noms — identifie les serveurs de noms faisant autorité pour la zone hosted ; créé automatiquement par Route 53 et ne devant pas être modifié
• SOA : début d'autorité — métadonnées relatives à la zone ; créé automatiquement

Les enregistrements SRV indiquent l'hôte et le port des services, ce qui permet la découverte de services dans des protocoles comme SIP et XMPP. Format : priorité, poids, port, cible. Etcd de Kubernetes et d'autres maillages de services utilisent les enregistrements SRV pour découvrir leurs pairs.

Les enregistrements CAA (autorisation des autorités de certification) indiquent quelles autorités de certification (CA) sont autorisées à émettre des certificats SSL/TLS pour votre domaine. L'ajout d'un enregistrement CAA qui limite l'émission à amazon.com empêche les autres CA d'émettre des certificats pour votre domaine, ce qui réduit le risque d'émission incorrecte de certificats.

TTL (durée de vie) est une valeur en secondes qui indique aux résolveurs DNS combien de temps mettre un enregistrement en cache avant d'interroger à nouveau Route 53. Un TTL faible (par exemple, 60 secondes) signifie que les modifications DNS se propagent rapidement, mais que Route 53 reçoit davantage de requêtes. Un TTL élevé (par exemple, 86400 = 1 jour) réduit les coûts de requêtes Route 53, mais ralentit la propagation des mises à jour d'enregistrements.

Bonne pratique : utilisez un TTL élevé pour les enregistrements stables (comme un enregistrement A du domaine principal). Avant une migration ou un changement de trafic planifié, réduisez temporairement le TTL à 60 secondes afin que la modification se propage rapidement. Après la migration, rétablissez le TTL élevé.

Route 53 Resolver est intégré à chaque VPC et gère la résolution DNS des enregistrements des zones hosted privées et des points de terminaison des services AWS. Pour les architectures hybrides dans lesquelles les systèmes sur site doivent résoudre les noms des zones privées AWS (ou inversement), utilisez les points de terminaison entrants de Resolver (du site vers AWS) et les points de terminaison sortants de Resolver (d'AWS vers le DNS sur site).

Les règles de transfert de Resolver vous permettent de configurer les suffixes de domaine transférés vers vos serveurs DNS d'entreprise, afin d'assurer une résolution DNS hybride fluide sans gestion de zones en double.

Route 53 sert également de bureau d'enregistrement de domaines, ce qui vous permet d'enregistrer de nouveaux domaines ou de transférer des domaines existants. Lors de l'enregistrement, vous fournissez vos coordonnées et pouvez activer la protection de la confidentialité (qui masque les données WHOIS personnelles). Route 53 prend en charge des centaines de domaines de premier niveau (TLD).

Lorsque vous enregistrez un domaine via Route 53, une zone hosted publique est créée automatiquement avec des enregistrements NS et SOA préconfigurés. Les enregistrements NS du bureau d'enregistrement pointent déjà vers les serveurs de noms de Route 53 ; aucune étape de délégation manuelle n'est donc nécessaire et vous pouvez commencer immédiatement à ajouter des enregistrements.

Bonnes pratiques essentielles concernant les zones hosted pour l'examen SAA-C03 :

• Utilisez des enregistrements ALIAS à l'apex de la zone plutôt que des CNAME pour les ressources AWS
• Utilisez des zones hosted privées pour tout le DNS interne ; n'exposez jamais les noms d'hôtes internes dans des zones publiques
• Définissez un TTL faible (60 à 120 s) avant les migrations ; rétablissez un TTL élevé ensuite
• Activez la signature DNSSEC pour les zones publiques afin de vous protéger contre les attaques d'usurpation DNS
• Ajoutez des balises aux zones hosted pour répartir les coûts si vous gérez plusieurs clients ou environnements

Évaluez votre compréhension des concepts AWS d'architecte de solutions (SAA-C03) présentés dans cette leçon.

Dans cette leçon, vous avez appris que : les zones hosted publiques acheminent le trafic Internet, tandis que les zones hosted privées ne permettent la résolution qu'au sein des VPC ; les enregistrements ALIAS résolvent la limitation des CNAME à l'apex de la zone pour les ressources AWS ; et le TTL contrôle la durée de mise en cache DNS ainsi que la vitesse de propagation. Nous allons maintenant découvrir les politiques de routage de Route 53, notamment le routage simple, pondéré et fondé sur la latence.