ハイブリッドDNS（プライベートホストゾーンのクロスアカウント関連付け）難易度 高無料
中央のネットワークアカウントが、社内共通の内部ドメイン internal.example.com のRoute 53プライベートホストゾーンを1つ所有している。このプライベートホストゾーンを、Organizations配下の50個の異なるスポークアカウントが所有するVPCへそれぞれ関連付けたい。この要件を満たす方法として最も適切なものを選べ。（単一選択）
- A中央のネットワークアカウントで、対象VPCごとに
CreateVPCAssociationAuthorizationを実行して関連付けを許可し、各スポークアカウント側でAssociateVPCWithHostedZoneを実行して自分のVPCとホストゾーンを関連付ける - BAWS RAMでプライベートホストゾーンを対象の50スポークアカウント（またはOU）へ共有する
- C
internal.example.comをRoute 53のパブリックホストゾーンとして作り直し、インターネット経由で全アカウントのVPCから名前解決できるようにする - D各スポークアカウントに同一内容のプライベートホストゾーンを個別に作成し、レコードをそれぞれ手動で同期する運用にする
正解・解説・誤答理由・ひっかけを見る▼ open
✓ 正解：AAI作成・独立検証済
解説
Route 53のプライベートホストゾーンはAWS RAMの共有対象リソースタイプではない点が本問の核心である。クロスアカウントでのVPC関連付けには、 Route 53が提供する専用の認可APIペアを使う。
- ホストゾーンの所有アカウント（中央のネットワークアカウント）側で、対象VPC（スポークアカウントが所有）ごとに
CreateVPCAssociationAuthorizationを実行し、そのVPCの関連付けを許可する。 - VPC所有アカウント（スポークアカウント）側で
AssociateVPCWithHostedZoneを実行し、認可されたホストゾーンと自分のVPCを実際に関連付ける。 - この2段階の認可・実行フローにより、ホストゾーンの所有権は中央アカウントに残したまま、複数アカウントのVPCから同じプライベートホストゾーンを名前解決に使えるようになる。
- BRoute 53のプライベートホストゾーンはAWS RAMの共有対象リソースタイプに含まれていない。クロスアカウントの関連付けにはRoute 53固有の認可APIを使う必要がある。
- C社内限定の内部ドメインをパブリックホストゾーン化するとインターネットに公開されてしまい、情報漏えい・セキュリティ上のリスクが生じる。プライベートホストゾーンのまま複数VPCに関連付けるのが適切。
- D50個のホストゾーンを個別に作成・同期する運用は変更の度に全アカウントへの反映漏れ（ドリフト）のリスクが高く、中央管理の目的に反する。
ひっかけ： 「TGWやサブネットと同様にAWS RAMで共有すればよい」という思い込みが典型的な誤り。プライベートホストゾーンはRAMの共有対象リソースタイプに含まれていない。
クロスアカウントのVPC関連付けは
CreateVPCAssociationAuthorization/AssociateVPCWithHostedZoneという、Route 53固有の認可APIで行う点を区別する。公式ドキュメント・関連Amazon Route 53 Developer Guide ― Associating more VPCs with a private hosted zone (cross-account)↗
AIが作成し、独立した検証を経た解説です（有資格者による監修は経ていません）