用Terraform为AWS ALB配置自定义域名遇Route53报错及跨账号问题咨询

1. 报错原因修复 #

你编写的aws_route53_zone资源中records参数是不存在的，Route53托管区本身不直接承载解析记录，解析记录需要单独通过aws_route53_record资源创建。

修正后的代码示例：

# 创建应用负载均衡器
resource "aws_alb" "application_load_balancer" {
  name               = "${var.brand}-be-${var.environment_name}-load-balancer"
  tags               = local.tags
  load_balancer_type = "application"
  subnets            = data.aws_subnets.public_subnets.ids
  security_groups    = [aws_security_group.sg_load_balancer.id]
}

# 引用根账号已存在的托管区（跨账号场景下用数据源获取）
data "aws_route53_zone" "zone_dev" {
  name         = "new-dev.foocorp.com"
  private_zone = false # 公网托管区设为false，私有托管区根据实际调整
}

# 创建指向ALB的Route53别名记录（推荐使用别名而非CNAME）
resource "aws_route53_record" "alb_domain" {
  zone_id = data.aws_route53_zone.zone_dev.zone_id
  name    = "new-dev.foocorp.com" # 若需子域名可改为类似www.new-dev.foocorp.com
  type    = "A" # 别名记录支持A或AAAA类型

  alias {
    name                   = aws_alb.application_load_balancer.dns_name
    zone_id                = aws_alb.application_load_balancer.zone_id
    evaluate_target_health = true # 可选，开启后联动ALB健康检查状态
  }

  tags = local.tags
}

2. ALB自定义域名的理解与最优实现 #

你的理解是正确的：ALB的默认域名由AWS自动分配，无法直接将自定义域名绑定到ALB本身。必须等待ALB创建完成后，通过DNS服务商（此处为Route53）创建解析记录，将自定义域名指向ALB的默认DNS名。

最优实现方式是使用Route53别名记录，而非普通CNAME记录：

• 别名记录是AWS原生支持的免费服务，无需额外付费
• 自动追踪ALB的IP地址变化（ALB为弹性负载均衡，IP可能动态调整）
• 支持与ALB健康检查联动，当ALB状态异常时自动停止解析

3. 跨账号托管区的IAM配置 #

由于托管区位于根账号，子账号需配置以下权限才能创建解析记录：

• 根账号侧：为子账号的IAM实体（用户/角色）添加权限策略，允许修改目标托管区的记录：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "route53:ChangeResourceRecordSets",
      "Resource": "arn:aws:route53:::hostedzone/[根账号托管区的Zone ID]"
    },
    {
      "Effect": "Allow",
      "Action": "route53:GetHostedZone",
      "Resource": "arn:aws:route53:::hostedzone/[根账号托管区的Zone ID]"
    }
  ]
}

• 子账号侧：确保Terraform使用的IAM角色/用户拥有上述权限，并且通过data "aws_route53_zone"正确获取根账号的托管区信息（托管区需为公网可访问，或子账号拥有读取该托管区的权限）

内容的提问来源于stack exchange，提问作者carlspring