Route53跨账号子域名委托是否要求AWS账户加入AWS Organizations

问题结论 #

你遇到的NXDOMAIN报错和两个AWS账户是否加入AWS Organizations没有任何关联，跨账户配置Route53子域名委托不需要账户归属同一组织。

排查步骤 #

• 确认账户A的abc.com托管区中创建的NS记录名称正确
  记录名称必须为dev.abc.com，如果是在父域托管区控制台直接填写，也可以只填dev，系统会自动补全后缀，需要最终显示的完整记录名为dev.abc.com。
• 确认账户B的dev.abc.com托管区存在对应解析记录
  子域名托管区创建完成后默认只有NS和SOA记录，如果你要查询A/CNAME等其他类型的记录，需要先在账户B的托管区手动添加对应记录，否则就会返回NXDOMAIN。你可以先执行dig dev.abc.com NS验证委托是否生效，如果能返回账户B托管区的4条NS记录，说明委托配置正确，只需添加对应业务记录即可。
• 排除DNS缓存干扰
  之前的错误查询结果会按NS记录的TTL值缓存在递归DNS服务器或本地设备中，你可以使用公共DNS直接查询验证：dig @8.8.8.8 dev.abc.com NS，如果返回正确的NS记录，等待缓存过期或者更换递归DNS即可恢复正常。
• 二次核对NS记录值完全匹配
  确保账户A中填写的4条NS记录，和账户B的dev.abc.com托管区给出的默认NS记录完全一致，不要遗漏任何一条，也不要修改任何字符。

内容的提问来源于stack exchange，提问作者uni