AWS Route53 和 ACM 证书 - 允许同一组织内的其他账户在托管区域中创建记录

Question

我有多个通过 AWS 组织管理的 AWS 账户。我有一个用于共享资源的通用帐户。在这个通用帐户中，我创建了一个与我通过 Route53 购买的域相关的 Route53 托管区域。让我们将此域称为 mydomain.example。

我想将此主域的子域连接到我的测试和生产帐户中的不同 ECS 服务。例如：test.mydomain.example 和 production.mydomain.example。到目前为止，一切都很好。我在通用帐户的托管区域中创建了这些域，并将它们指向我的负载均衡器（它执行基于主机的路由）。

现在的问题是 TLS。如何制作 ACM 证书，其验证记录存储在另一个账户的托管区域中？跨账户 IAM 似乎是针对每个 AWS 服务的特定实施。

Answer 1

我曾经创建了一个用于在另一个帐户中创建记录的解决方案。 Di 用 sns 和 lambdas 做到了这一点。在我的情况下，我有一个创建记录的 CF 和一个触发 lambda 的 CR 以发布到该帐户中的主 HZ 的帐户中的 sns 主题，我有一个 Lambda 作为该 sns 主题的订阅者。并且主账户中的lambda添加了主HZ中的记录。