跨AWS账户：负载均衡器关联Route53托管区及入站连接配置问题

我来帮你梳理这两个问题的正确解决方式，你之前的临时方案确实存在隐患——负载均衡器（尤其是ALB/NLB）的节点IP是动态变化的，直接指向IP会导致后续流量中断，下面是具体的标准配置步骤：

不要用IP记录，AWS提供了更可靠的方式，分两种情况：

如果是应用负载均衡器（ALB）或网络负载均衡器（NLB） #

• 让客户在自己的Route53托管区中创建别名记录（Alias Record）
  1. 登录客户的AWS Route53控制台，进入目标托管区
  2. 点击「创建记录」，选择记录类型为「A - IPv4地址」或「AAAA - IPv6地址」
  3. 开启「别名」选项，选择「别名到AWS资源」
  4. 在下拉菜单中选择对应的负载均衡器（需要确保客户账户能访问到你的负载均衡器资源，或者你已经共享了负载均衡器的完整DNS名称）
  5. 填写客户想要关联的域名（比如app.customer-domain.com），保存记录

如果是经典负载均衡器（CLB） #

• 客户可以创建CNAME记录，直接指向你的负载均衡器的完整DNS名称（比如my-loadbalancer-123456789.us-east-1.elb.amazonaws.com）
• 注意：CNAME不能用于根域名（比如customer-domain.com），根域名需要用别名记录（即使是CLB，Route53也支持别名到CLB）

核心优势：别名记录会自动同步负载均衡器的节点IP变化，完全避免了你之前遇到的动态IP失效问题。

需要从负载均衡器、后端目标组、安全组三个层面配合配置：

1. 负载均衡器的安全组配置 #

• 编辑负载均衡器关联的安全组，添加入站规则：
  • 协议/端口：根据业务需求选择（比如HTTP 80、HTTPS 443）
  • 源：可以指定客户域名对应的客户端IP范围，或者直接开放0.0.0.0/0（如果是公网服务），更安全的方式是限制到客户的公网IP段
  • 备注：标注为「允许客户域名的入站流量」

2. 后端目标组的安全组配置 #

• 确保后端ECS/EC2实例的安全组允许来自负载均衡器安全组的入站流量
  • 比如，如果负载均衡器用的是HTTPS 443，后端实例的安全组要允许来自负载均衡器安全组的TCP 443（或HTTP 80，如果你在负载均衡器终止SSL）流量

3. SSL证书（如果用HTTPS） #

• 如果客户的域名需要HTTPS访问，你需要：
  • 在AWS ACM（证书管理器）中申请或导入包含客户域名的证书（比如app.customer-domain.com）
  • 将证书关联到负载均衡器的HTTPS监听器上
  • 确保客户的Route53记录指向的负载均衡器监听器已经配置了正确的证书

4. 验证入站连接 #

• 配置完成后，让客户用nslookup或dig检查域名是否解析到负载均衡器的DNS名称
• 用浏览器或curl测试客户域名的访问，确认流量能正常到达后端服务

内容的提问来源于stack exchange，提问作者madzohan