如何通过CDK部署带延迟路由自定义域名的多区域AppSync API

问题概述 #

尝试通过CDK将AppSync API部署到两个AWS区域，实现同一主机名访问时，遇到以下核心问题：

1. 跨区域部署相同自定义域名的AWS::AppSync::DomainName资源时，CloudFront报错：

Invalid request provided: CNAME already exists

2. 尝试改用Route53别名A记录指向AppSync域名，CDK无内置对应目标类型（不像ApiGateway、CloudFront有现成封装）
3. 改用区域特定自定义域名+延迟路由A记录的方案，出现SSL证书不匹配问题（AppSync底层CloudFront分发绑定的是区域特定域名）
4. 目前仅可行的方案是在AppSync前部署API Gateway代理，但会增加约200ms延迟，需要更优替代方案

优化解决方案 #

方案1：全局CloudFront统一入口（推荐） #

• 部署一个全局CloudFront分发，将请求转发至两个区域的AppSync端点
• 配置CloudFront缓存策略禁用所有缓存（适配AppSync实时API特性），同时设置源请求策略保留全部请求头
• 为CloudFront绑定目标自定义域名（my-appsync-api.example.com），使用us-east-1区域的ACM证书（CloudFront强制要求）
• 在CloudFront中添加两个区域的AppSync端点作为自定义源，配置源组并结合Route53健康检查实现延迟/故障转移路由
• Route53中创建A/AAAA别名记录，直接指向CloudFront分发

方案2：子域名+多SAN证书适配 #

• 为两个区域的AppSync分别配置区域特定子域名（如appsync-ase2.example.com、appsync-ew1.example.com），绑定对应区域的ACM证书
• 为ACM证书添加主域名（my-appsync-api.example.com）和所有子域名作为SAN（Subject Alternative Name），解决SSL匹配问题
• 在Route53中创建my-appsync-api.example.com的延迟路由A记录，分别指向两个子域名对应的CloudFront分发

方案3：CDK手动实现Route53别名指向AppSync #

虽然CDK没有内置AppSync的Route53目标封装，但可以通过手动构造AliasTarget实现：

// CDK TypeScript示例：创建指向AppSync域名的Route53别名记录
const appSyncDomain = appsyncDomainName.attrAppSyncDomainName;
// 对应区域的AppSync托管区ID可通过AWS CLI查询：aws appsync get-domain-name --domain-name <域名> --query 'domainNameConfig.hostedZoneId'
const appSyncHostedZoneId = 'Z2FDTNDATAQYW2'; // 示例ID，需替换为目标区域实际值

new route53.RecordSet(this, 'AppSyncAliasRecord', {
  zone: hostedZone,
  recordName: 'my-appsync-api.example.com',
  recordType: route53.RecordType.A,
  target: route53.RecordTarget.fromAlias({
    bind: () => ({
      dnsName: appSyncDomain,
      hostedZoneId: appSyncHostedZoneId,
    }),
  }),
});

• 注意：不同区域的AppSync托管区ID不同，需分别查询配置

方案对比 #

内容的提问来源于stack exchange，提问作者user3067870