AWS SES跨AWS账户迁移：DNS验证切换的影响咨询

首先得明确一个核心关键点：直接替换_amazonses.mydomain.com的DNS记录会导致旧AWS账户中的SES失去域名验证权限，进而让你的遗留系统无法再使用该域名发送邮件——这正是你最担心的破坏遗留系统的情况，下面详细拆解：

1. 对遗留系统的核心影响 #

你的遗留系统依赖旧AWS账户的SES发送邮件，而旧账户的SES能正常使用该域名的前提是，DNS中存在对应的验证TXT记录。当你把旧记录替换成新账户的验证值后：

• AWS会定期检查域名验证状态（通常几分钟到几小时内），一旦发现旧的验证记录消失，就会取消旧账户对该域名的验证权限。
• 旧账户的SES会立即拒绝发送来自该域名的邮件，返回类似"Domain not verified"的错误，而你的遗留系统无法更新，也就无法切换到新账户的SES，这会直接导致邮件发送功能完全失效。

2. DNS更新带来的过渡/停机问题 #

即使考虑DNS缓存的TTL因素：

• 如果原记录TTL设置较高（比如24小时），全球DNS缓存的刷新需要时间，这段时间内旧账户的验证可能还能维持，但最终还是会失效，而且这段"灰色期"会导致部分邮件成功发送、部分失败的不稳定状态。
• 如果TTL较低（比如5分钟），失效会更快，几乎没有缓冲时间，遗留系统会很快无法发邮件。

另外，如果旧账户的SES配置了邮件反馈转发（比如退回邮件、投诉通知到S3/SNS），依赖_amazonses.mydomain.com的MX记录，替换记录后这些反馈会转到新账户的SES配置，旧系统将无法接收相关通知，可能影响邮件监控功能。

3. 安全迁移的解决方案（避免破坏遗留系统） #

你不需要替换旧记录，而是可以在同一个_amazonses.mydomain.com主机名下添加新账户的验证TXT记录值：

• SES允许同一个域名在多个AWS账户中验证，只需要将每个账户生成的验证TXT值都添加到DNS中即可。
• 这样旧账户的验证记录保留，遗留系统可以继续正常使用旧SES发邮件；新账户的SES也能完成域名验证，你可以在新账户中开展后续建设。
• 等未来你可以迁移遗留系统到新账户（或者不再需要旧系统的邮件功能）时，再移除旧账户的验证记录即可。

额外注意事项 #

• 确认DNS服务商支持同一主机名添加多个TXT记录值（绝大多数主流服务商都支持）。
• 新账户添加验证记录后，等待AWS完成验证（通常几分钟内），再确认新账户的SES可以正常发送该域名的邮件。
• 如果旧账户的SES还在使用该域名的DKIM记录（通常是xxxx._domainkey.mydomain.com这类主机名），不要修改这些记录，否则也会影响旧系统的邮件发送可信度（可能被收件方标记为垃圾邮件）。

内容的提问来源于stack exchange，提问作者Petrogad