Route 53のサブドメインをTerraformで別ゾーンに切り出す設計｜NSレコード委任と環境ごとの権限分離

この記事のポイント

・ 子ゾーンのname_servers属性をそのまま親ゾーンのNSレコードのrecordsに渡せる
・ NSレコードはtype="NS"＋records=aws_route53_zone.子.name_serversで書く
・ IAMポリシーはARNにゾーンIDを含めてゾーン単位で権限を絞れる
・ 委任後はdigコマンドで親ゾーンのNSサーバーに直接問い合わせて確認する

# 親ゾーン（例: example.com）をデータソースで参照
data "aws_route53_zone" "root" {
  name         = "example.com"
  private_zone = false
}

# 子ゾーン（例: dev.example.com）を作成
resource "aws_route53_zone" "dev" {
  name = "dev.example.com"

  tags = {
    Environment = "dev"
    ManagedBy   = "terraform"
  }
}

# 親ゾーンにNSレコード委任を登録
resource "aws_route53_record" "dev_delegation" {
  zone_id = data.aws_route53_zone.root.zone_id
  name    = "dev.example.com"
  type    = "NS"
  ttl     = 300

  records = aws_route53_zone.dev.name_servers
}

# 子ゾーンstateでname_serversをoutputとして公開
output "dev_zone_name_servers" {
  value = aws_route53_zone.dev.name_servers
}

output "dev_zone_id" {
  value = aws_route53_zone.dev.zone_id
}

# devゾーンのみ変更できるIAMポリシー
resource "aws_iam_policy" "route53_dev_zone" {
  name        = "route53-dev-zone-policy"
  description = "dev.example.com ゾーンへの変更権限"

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Sid    = "AllowDevZoneChange"
        Effect = "Allow"
        Action = [
          "route53:ChangeResourceRecordSets",
          "route53:ListResourceRecordSets",
          "route53:GetHostedZone"
        ]
        Resource = "arn:aws:route53:::hostedzone/${aws_route53_zone.dev.zone_id}"
      },
      {
        Sid    = "AllowListZones"
        Effect = "Allow"
        Action = [
          "route53:ListHostedZones",
          "route53:GetChange"
        ]
        Resource = "*"
      }
    ]
  })
}

# 親ゾーンのNSサーバーに直接問い合わせてNSレコードを確認
$ dig NS dev.example.com @ns-1234.awsdns-28.org

; <<>> DiG 9.16.23-RH <<>> NS dev.example.com @ns-1234.awsdns-28.org
;; ANSWER SECTION:
dev.example.com.  300  IN  NS  ns-100.awsdns-12.com.
dev.example.com.  300  IN  NS  ns-200.awsdns-25.net.
dev.example.com.  300  IN  NS  ns-300.awsdns-37.co.uk.
dev.example.com.  300  IN  NS  ns-400.awsdns-00.org.

# stateでzone_idを確認
$ terraform state show 'aws_route53_record.dev_delegation'
# aws_route53_record.dev_delegation:
# resource "aws_route53_record" "dev_delegation" {
#   zone_id = "Z1234567890ABC"  ← ここが親ゾーンのIDであることを確認
#   name    = "dev.example.com"
#   type    = "NS"