Trabalho com perfis compartilhados do Route 53

Você pode compartilhar um perfil com outras contas por meio de:

• Concessão de permissões somente para leitura, o que significa que a outra conta pode associar o perfil às suas VPCs. Nesse caso, todos os recursos e configurações de DNS terão efeito nas VPCs associadas.

• Concessão de permissões de administrador. Nesse caso, as contas com o perfil compartilhado podem modificar o perfil e depois associá-lo às suas VPCs. Um proprietário também pode criar permissões gerenciadas pelo cliente que podem ser usadas para especificar quais ações podem ser realizadas pela conta do consumidor. Para obter mais informações, consulte Customer managed permissions no AWS RAM User Guide.

O perfil do Amazon Route 53 é integrado com o AWS Resource Access Manager (AWS RAM) para permitir o compartilhamento de recursos. O AWS RAM é um serviço que permite compartilhar alguns recursos do Route 53 com outras Contas da AWS ou por meio do AWS Organizations. Com o AWS RAM, você compartilha recursos que possui criando um compartilhamento de recursos. Um compartilhamento de recursos especifica os recursos a serem compartilhados, e os consumidores com os quais compartilhá-los. Os consumidores podem incluir:

• Contas da AWS específicas

• Uma unidade organizacional dentro da organização no AWS Organizations

• Toda a organização no AWS Organizations

Para obter mais informações sobre o AWS RAM, consulte o Guia do usuário do AWS RAM.

Este tópico explica como compartilhar recursos que você possui e como usar os recursos que são compartilhados com você.

Concessão de permissões para compartilhar perfis do Route 53

É necessário um conjunto mínimo de permissões para que uma entidade principal do IAM compartilhe um perfil. Recomendamos usar a política gerenciada do IAM AmazonRoute53ProfilesFullAccess para garantir que as entidades principais do IAM tenham as permissões necessárias para compartilhar e usar perfis compartilhados.

Se você usar uma política personalizada do IAM, as ações route53profiles:GetProfilePolicy e route53profiles:PutProfilePolicy serão são necessárias. Essas são ações do IAM realizadas somente com permissão. Se uma entidade principal do IAM não tiver essas permissões, ocorrerá um erro quando ela tentar compartilhar o perfil usando o serviço AWS RAM.

Pré-requisitos para compartilhamento de perfis do Route 53

• Para compartilhar um perfil do Route 53, você deve ser o proprietário do perfil na sua Conta da AWS. Isso significa que o recurso deve ser alocado ou provisionado em sua conta. Você não pode compartilhar um perfil do Route 53 que foi compartilhado com você.

• Para compartilhar um perfil do Route 53 com a sua organização ou com uma unidade organizacional do AWS Organizations, você deve habilitar o compartilhamento com o AWS Organizations. Para obter mais informações, consulte Habilitar o compartilhamento com o AWS Organizations no Guia do usuário do AWS RAM.

Compartilhamento de um perfil do Route 53

Quando compartilha um perfil do qual é o proprietário com outra Conta da AWS, você permite que essa conta aplique as configurações relacionadas a DNS do perfil às suas VPCs. Isso facilita a aplicação de configurações uniformes de DNS em milhares de VPCs com o mínimo de sobrecarga de gerenciamento.

Para compartilhar um perfil do Route 53, você deve adicioná-la a um compartilhamento de recursos. Um compartilhamento de recursos é um recurso do AWS RAM que permite que você compartilhe seus recursos entre Contas da AWS. Um compartilhamento de recursos especifica os recursos a serem compartilhados, e os consumidores com os quais compartilhá-los. Quando compartilha um perfil do Route 53 usando o console do Route 53, você o adiciona a um compartilhamento de recursos existente. Para adicionar o perfil do Route 53 a um novo compartilhamento de recursos, primeiro você deve criar o compartilhamento de recursos usando o console do AWS RAM.

Se você fizer parte de uma organização do AWS Organizations e o compartilhamento dentro da organização estiver habilitado, será automaticamente concedido aos consumidores da sua organização acesso ao perfil do Route 53 compartilhado. Caso contrário, os consumidores receberão um convite para participar do compartilhamento de recursos e, depois que aceitarem, será concedido a eles acesso ao perfil do Route 53 compartilhado.

Você pode começar a compartilhar um perfil do Route 53 do qual é o proprietário no console do Route 53 e continuar no console do AWS RAM.

Para compartilhar um perfil do Route 53 do qual você é o proprietário usando o console do Route 53

1. Faça login no AWS Management Console e abra o console do Route 53 em https://console.aws.amazon.com/route53/.

2. No painel de navegação, escolha Perfis.

3. Selecione o perfil que você deseja compartilhar e, na página Detalhes do perfil, escolha Gerenciar compartilhamento.

4. Você é levado para o console do AWS RAM onde pode seguir estas etapas: Creating a Resource Share no AWS RAM User Guide..

5. Se um perfil for compartilhado com você, a tabela Perfis incluirá o texto Compartilhado comigo.

   Quando você compartilha um perfil, ele é listado como Compartilhado na tabela Perfis.

Para compartilhar um perfil do Route 53 usando o console do AWS RAM

Consulte Criar um compartilhamento de atributos no Manual do usuário do AWS RAM.

Para compartilhar um perfil do Route 53 do qual você é o proprietário usando a AWS CLI

Use o comando create-resource-share.

Cancelamento do compartilhamento de um perfil do Route 53 compartilhado

Quando você cancelar o compartilhamento de um perfil, as VPCs que têm as configurações desse perfil associadas a elas perderão essas configurações e assumirão as configurações específicas de VPC padrão.

Para cancelar o compartilhamento de um perfil do Route 53 do qual é o proprietário, você deve removê-lo do compartilhamento de recursos. Você pode fazer isso usando o console do Route 53, o console do AWS RAM ou a AWS CLI.

Para cancelar o compartilhamento de um perfil compartilhado do Route 53 do qual você é o proprietário usando o console do Route 53

1. Faça login no AWS Management Console e abra o console do Route 53 em https://console.aws.amazon.com/route53/.

2. No painel de navegação, escolha Perfis.

3. Selecione o nome vinculado do perfil cujo compartilhamento você deseja cancelar e, no <Nome do perfil>, escolha Gerenciar compartilhamento.

4. Você é levado para o console do AWS RAM onde pode seguir estas etapas: Updating a Resource Share no AWS RAM User Guide.

Para cancelar o compartilhamento de um perfil compartilhado do Route 53 do qual você é o proprietário usando o console do AWS RAM

Consulte Atualização de um compartilhamento de atributos no Guia do usuário do AWS RAM.

Para cancelar um perfil compartilhado do Route 53 do qual você é o proprietário usando a AWS CLI

Use o comando disassociate-resource-share.

Identificação de um perfil compartilhado do Route 53

Os proprietários e os consumidores podem identificar os perfis compartilhados do Route 53 usando o console do Route 53 e a AWS CLI.

Para identificar um perfil compartilhado do Route 53 usando o console do Route 53

1. Faça login no AWS Management Console e abra o console do Route 53 em https://console.aws.amazon.com/route53/.

2. No painel de navegação, escolha Perfis.

3. Se um perfil for compartilhado com você, a tabela Perfis incluirá o texto Compartilhado comigo.

   Quando você compartilha um perfil, ele é listado como Compartilhado na tabela Perfis.

Para identificar um perfil compartilhado do Route 53 usando a AWS CLI

Use o comando get-profile ou list-profile. Os comandos retornam informações sobre os perfis do Route 53 dos quais você é o proprietário e o status de compartilhamento dos perfis do Route 53.

Responsabilidades e permissões para perfis compartilhados do Route 53

Permissões para proprietários

O proprietário do perfil pode visualizar, gerenciar e excluir associações de recursos do perfil, incluindo associações de recursos feitas pelas contas dos consumidores. O proprietário pode visualizar e excluir as associações das VPCs que possui. Além disso, somente o proprietário de um perfil pode excluí-lo, e isso também remove automaticamente todas as associações de recursos do perfil.

Permissões para consumidores

A permissão padrão para consumidores de um perfil compartilhado é somente para leitura. Com permissão somente para leitura, eles podem ver os recursos associados e associá-los às VPCs, mas não podem gerenciar as associações de recursos.

Um proprietário também pode criar permissões gerenciadas pelo cliente no console do AWS RAM. Para obter mais informações, consulte Creating and using customer managed permissions no AWS RAM User Guide.

Faturamento e medição

Os perfis do Route 53 são cobrados com base no número de associações de VPC. O proprietário do perfil é responsável pela fatura das associações de VPC feitas pelo cliente.

Cotas de instâncias

Os proprietários e consumidores do perfil compartilham a mesma cota, exceto pelo número de perfis do Route 53 por conta em uma região. Para ter mais informações, consulte Cotas nos perfis do Route 53 .