TerraformでRoute 53のaliasレコードとCNAMEを使い分ける設計｜ALBへの向き先をHCLで宣言し名前解決を安定させる

この記事のポイント

・ aliasレコードはHCLでalias {}ブロックで書く。CNAMEとは構文が全く異なる
・ ALBをRoute 53で向ける場合はaliasが正解（apexドメインでも使えてTTL不要）
・ apexドメイン（example.com）にCNAMEは書けない。HCLでのエラー回避に重要
・ zone_idの混同（Route 53のIDとALBのzone_idは別物）がよくあるトラブルの原因

# CNAMEの基本構文
resource "aws_route53_record" "cname_example" {
  zone_id = data.aws_route53_zone.main.zone_id
  name    = "api.example.com"
  type    = "CNAME"
  ttl     = 300
  records = ["backend.partner-service.com"]
}

# aliasレコードの基本構文
resource "aws_route53_record" "alias_example" {
  zone_id = data.aws_route53_zone.main.zone_id
  name    = "www.example.com"
  type    = "A"

  alias {
    name                   = aws_lb.main.dns_name
    zone_id                = aws_lb.main.zone_id
    evaluate_target_health = true
  }
}

# ホストゾーンをドメイン名で検索して取得
data "aws_route53_zone" "main" {
  name         = "example.com."
  private_zone = false
}

# ALBのリソース定義（同一モジュール内に存在する前提）
resource "aws_lb" "main" {
  name               = "prod-alb"
  internal           = false
  load_balancer_type = "application"
  subnets            = var.public_subnet_ids
}

# ALBへのaliasレコード
resource "aws_route53_record" "www" {
  zone_id = data.aws_route53_zone.main.zone_id
  name    = "www.example.com"
  type    = "A"

  alias {
    name                   = aws_lb.main.dns_name
    zone_id                = aws_lb.main.zone_id
    evaluate_target_health = true
  }
}

$ dig www.example.com A

; <<>> DiG 9.16.23-RH <<>> www.example.com A
;; ANSWER SECTION:
www.example.com.    60  IN  A  203.0.113.10
www.example.com.    60  IN  A  203.0.113.11

;; Query time: 18 msec
;; SERVER: 205.251.197.150#53(205.251.197.150)

# 外部SaaSへのCNAME
resource "aws_route53_record" "docs" {
  zone_id = data.aws_route53_zone.main.zone_id
  name    = "docs.example.com"
  type    = "CNAME"
  ttl     = 300
  records = ["mysite.notion.so"]
}

# 社内システムの別名
resource "aws_route53_record" "legacy" {
  zone_id = data.aws_route53_zone.main.zone_id
  name    = "legacy.example.com"
  type    = "CNAME"
  ttl     = 60
  records = ["new-system.example.com"]
}

# NG: apexドメインへのCNAMEは書けない
resource "aws_route53_record" "root_cname" {
  zone_id = data.aws_route53_zone.main.zone_id
  name    = "example.com"   # apexドメイン
  type    = "CNAME"         # これが弾かれる
  ttl     = 300
  records = ["alb-xxx.ap-northeast-1.elb.amazonaws.com"]
}

# エラー内容（terraform apply 実行時）:
# Error: [InvalidChangeBatch 400: RRSet of type CNAME with DNS name
# example.com. is not permitted at apex in zone example.com.]

# OK: apexドメインはaliasで書く
resource "aws_route53_record" "root_alias" {
  zone_id = data.aws_route53_zone.main.zone_id
  name    = "example.com"
  type    = "A"

  alias {
    name                   = aws_lb.main.dns_name
    zone_id                = aws_lb.main.zone_id
    evaluate_target_health = true
  }
}

# NG: alias内のzone_idにRoute 53のIDを渡すと名前解決が壊れる
alias {
  name    = aws_lb.main.dns_name
  zone_id = data.aws_route53_zone.main.zone_id  # これは間違い
  evaluate_target_health = true
}

# OK: alias内のzone_idはAWSリソース（ALB）のzone_idを渡す
alias {
  name    = aws_lb.main.dns_name
  zone_id = aws_lb.main.zone_id  # ALBのzone_id
  evaluate_target_health = true
}

# 確認: ALBのターゲットヘルスチェック状態
$ aws elbv2 describe-target-health \
    --target-group-arn arn:aws:elasticloadbalancing:ap-northeast-1:123456789012:targetgroup/prod-tg/xxx

# ANSWER SECTIONが空の場合、ALBターゲットが全台unhealthy
$ dig www.example.com A

; <<>> DiG 9.16.23-RH <<>> www.example.com A
;; ANSWER SECTION:
;; (empty)

;; AUTHORITY SECTION:
example.com.    900  IN  SOA  ns-xxx.awsdns-xx.net. ...