Delegar um subdomínio ao Route 53 sem migrar seu domínio

Um subdomínio na AWS, o domínio onde está#

É comum ter o domínio principal registrado e gerenciado num provedor como GoDaddy, Namecheap ou Squarespace e querer que uma parte dele, por exemplo develop.exemplo.com.br ou api.exemplo.com.br, seja gerenciada na AWS. Assim, seus deploys podem criar e alterar registros DNS desse subdomínio sem mexer no e-mail nem no site principal.

A técnica se chama delegação. Você cria no Amazon Route 53 uma hosted zone com o nome do subdomínio e, no provedor do domínio pai, adiciona registros NS que dizem: para este subdomínio, pergunte a estes servidores de nomes. A AWS documenta isso como criar um subdomínio que usa o Route 53 sem migrar o domínio pai.

Muitas plataformas de deploy fazem o primeiro passo por você: ao cadastrar um domínio nelas, elas criam a hosted zone na sua conta AWS. O resto do processo é idêntico. Se o que você quer é mover o domínio principal inteiro para o Route 53, isso é outra migração.

Para se aprofundar: Conectar domínio da GoDaddy, Namecheap ou Google Domains à AWS

Documentação: Route 53 · Subdomínio sem migrar o domínio pai ↗ · Route 53 · Rotear tráfego de subdomínios ↗ · RFC 1034 · Conceitos de DNS ↗

1. Criar a hosted zone do subdomínio#

No console do Route 53, vá em Hosted zones, clique em Create hosted zone, digite o nome completo do subdomínio (develop.exemplo.com.br) e escolha o tipo público. O Route 53 cria automaticamente os registros NS e SOA da zona e atribui a ela quatro servidores de nomes.

Dois cuidados que a AWS destaca: não crie registros NS ou SOA adicionais dentro dessa hosted zone nem apague os existentes. Depois você pode criar nela os registros de que precisar (A, AAAA, CNAME, alias), embora eles só resolvam na internet quando a delegação estiver concluída.

Documentação: Route 53 · Criar uma hosted zone pública ↗ · Route 53 · Registros NS e SOA ↗ · Route 53 · Subdomínio sem migrar o domínio pai ↗

2. Criar os registros NS no provedor pai#

Copie os quatro servidores de nomes da hosted zone e crie registros na zona DNS do domínio pai com estes valores:

• Nome ou Host: só o prefixo do subdomínio (develop). Muitos provedores adicionam o domínio automaticamente; se você digitar o nome completo, ele pode ficar duplicado.
• Tipo: NS.
• Valor: um servidor de nomes da AWS por registro; você vai criar quatro registros com o mesmo nome.
• TTL: 172800 segundos (dois dias), o valor típico para NS segundo a AWS.

Não adicione um registro SOA para o subdomínio no provedor pai e, se o provedor tiver criado um por conta própria, apague-o. Também não pode existir outro registro com o mesmo nome, como um CNAME, porque um CNAME não pode conviver com outros dados nesse nome.

# 1. Criar a hosted zone pública do subdomínio
aws route53 create-hosted-zone \
  --name develop.exemplo.com.br \
  --caller-reference "develop-$(date +%s)"

# 2. Obter os quatro servidores de nomes dela
aws route53 get-hosted-zone --id Z0123456789EXAMPLE \
  --query 'DelegationSet.NameServers'

# 3. Registros que você adiciona na zona de exemplo.com.br (provedor principal).
#    Estes servidores são os de exemplo da documentação da AWS.
#    develop.exemplo.com.br.  172800  IN  NS  ns-2048.awsdns-64.com.
#    develop.exemplo.com.br.  172800  IN  NS  ns-2049.awsdns-65.net.
#    develop.exemplo.com.br.  172800  IN  NS  ns-2050.awsdns-66.org.
#    develop.exemplo.com.br.  172800  IN  NS  ns-2051.awsdns-67.co.uk.

# 4. Verificar a delegação
dig +short NS develop.exemplo.com.br
dig +trace develop.exemplo.com.br

Se o domínio pai também estiver no Route 53, mesmo que em outra conta, o procedimento é o mesmo: você cria o registro NS com o nome do subdomínio na hosted zone do domínio pai.

Documentação: Route 53 · Atualizar o DNS do domínio pai ↗ · Route 53 · TTL típico de NS ↗ · AWS CLI · create-hosted-zone ↗ · AWS CLI · get-hosted-zone ↗ · RFC 1034 · Regras de CNAME ↗

Onde fazer isso em cada provedor#

As interfaces mudam com frequência, então use isto como orientação e procure sempre a opção de adicionar um registro NS no gerenciamento de DNS do domínio:

• GoDaddy: na sua lista de domínios, abra o gerenciamento de DNS do domínio, clique em Adicionar, escolha o tipo NS e preencha host, servidor e TTL.
• Namecheap: em Domain List, clique em Manage no domínio, abra a aba Advanced DNS e use Add New Record com tipo NS; em Host, digite só o prefixo.
• Google Domains: não opera mais como registrador independente; seus domínios passaram para o Squarespace Domains, então o gerenciamento de DNS é feito pelo painel do Squarespace.

Documentação: GoDaddy · Adicionar um registro NS ↗ · Squarespace · Nova casa do Google Domains ↗

3. Verificar a delegação#

Consulte os NS do subdomínio com dig +short NS. Quando a resposta mostrar os quatro servidores awsdns da sua hosted zone, a delegação está ativa. O dig +trace percorre a resolução a partir da raiz e mostra em que ponto a autoridade é entregue ao subdomínio.

A mudança nem sempre é imediata. Os resolvers podem ter guardado em cache respostas anteriores e, com um TTL de dois dias nos NS, a propagação completa pode levar até 48 horas no pior caso.

Se não funcionar, revise nesta ordem: se o nome do registro não ficou duplicado (develop.exemplo.com.br.exemplo.com.br), se os quatro servidores estão lá, se não há um CNAME ou um SOA em conflito e se você está consultando a hosted zone correta, porque, se você a apagar e criar de novo, o Route 53 atribui servidores diferentes.

Documentação: Route 53 · Migrar DNS e cache de NS ↗ · Route 53 · Excluir uma hosted zone ↗

Boas práticas#

• Use um subdomínio por ambiente (dev, staging, app) para que cada um tenha sua própria zona e suas próprias permissões.
• Limite quem pode alterar os NS no provedor pai: quem controla esses registros controla o subdomínio.
• Para desativar um subdomínio, apague primeiro os NS no provedor pai, espere o TTL expirar e só então exclua a hosted zone. A AWS alerta que, na ordem inversa, alguém poderia sequestrar o subdomínio enquanto os resolvers ainda têm os servidores dele em cache.
• Documente a delegação junto com a sua infraestrutura como código para que ela não vire um passo manual esquecido.

Documentação: Route 53 · Excluir uma hosted zone ↗