使用Terraform实现Route 53跨账户子域名/托管区委托的问题

核心结论 #

你遇到的是Terraform跨状态/跨账户的资源引用问题——prod环境的状态库中没有dev托管区的信息，无法直接引用其name_servers属性，但这不是AWS账户隔离必然导致的问题，通过以下几种方案可以优雅解决：

方案1：远程状态数据源（推荐） #

如果dev环境的Terraform状态已存储在远程后端（如S3+DynamoDB），可以在prod配置中通过terraform_remote_state数据源直接读取dev的状态输出：

1. 先在dns/模块中添加输出：

output "name_servers" {
  value       = aws_route53_zone.this.name_servers
  description = "Name servers for the hosted zone"
}

2. 在prod环境的配置中引入远程状态数据源：

data "terraform_remote_state" "dev_dns" {
  backend = "s3"
  config = {
    bucket         = "your-dev-terraform-state-bucket"
    key            = "dev/dns/terraform.tfstate" # 对应dev环境状态文件的路径
    region         = "us-east-1"
    dynamodb_table = "your-dev-terraform-lock-table" # 若启用状态锁则添加
  }
}

# 创建子域委托NS记录
resource "aws_route53_record" "dev_delegation" {
  zone_id = aws_route53_zone.prod_zone.zone_id
  name    = "dev.example.com"
  type    = "NS"
  ttl     = "300"
  records = data.terraform_remote_state.dev_dns.outputs.name_servers
}

• 权限要求：prod环境的AWS执行角色需要有读取dev状态存储桶的权限。

方案2：跨工作区状态引用（适合同后端多工作区场景） #

如果dev和prod共用同一个S3后端，仅用Terraform工作区区分环境，可以直接指定工作区读取状态：

data "terraform_remote_state" "dev_dns" {
  backend = "s3"
  config = {
    bucket     = "your-shared-terraform-state-bucket"
    key        = "dns/terraform.tfstate"
    region     = "us-east-1"
    workspace  = "dev" # 指定dev工作区
  }
}

# 后续NS记录配置同方案1

方案3：AWS资源数据源跨账户查询 #

通过配置跨账户AWS Provider，直接在prod环境中查询dev账户的Route53托管区：

1. 在prod配置中添加指向dev账户的Provider：

provider "aws" {
  alias  = "dev"
  region = "us-east-1"
  # 这里可以通过角色切换、环境变量等方式配置dev账户的凭证
  assume_role {
    role_arn = "arn:aws:iam::DEV_ACCOUNT_ID:role/terraform-execution-role"
  }
}

2. 用数据源查询dev托管区：

data "aws_route53_zone" "dev_zone" {
  name         = "dev.example.com."
  private_zone = false
  providers    = { aws = aws.dev }
}

resource "aws_route53_record" "dev_delegation" {
  zone_id = aws_route53_zone.prod_zone.zone_id
  name    = "dev.example.com"
  type    = "NS"
  ttl     = "300"
  records = data.aws_route53_zone.dev_zone.name_servers
}

• 权限要求：dev账户需要允许prod账户的角色执行route53:GetHostedZone操作。

方案4：手动变量注入（适合小型/临时场景） #

如果不需要完全自动化，可以在dev环境部署完成后，复制dev托管区的name_servers值，作为变量传入prod配置：

1. 在prod的variables.tf中定义变量：

variable "dev_name_servers" {
  type        = list(string)
  description = "Name servers for dev.example.com hosted zone"
}

2. 部署时通过tfvars文件或命令行传入：

terraform apply -var-file="dev-ns.tfvars"

• dev-ns.tfvars内容：

dev_name_servers = [
  "ns-1234.awsdns-12.com",
  "ns-5678.awsdns-56.net"
]

内容的提问来源于stack exchange，提问作者Blair Nangle