セクション 01 · タスク 1.1 · SAP-C02-009

ハイブリッドDNSとRoute 53 Resolver

Route 53 VPC Resolver / インバウンドエンドポイント / アウトバウンドエンドポイント / Resolverルール / オンプレミスDNS / 条件付き転送

このページのゴール

オンプレミスとAWSの間で、名前解決の方向と責任を判断してハイブリッドDNSを設計できることをゴールにします。

誰が名前を引く？
        │
   ┌────┴────┐
   │         │
オンプレミス     AWS
→ AWS       → オンプレミス
   │         │
   ▼         ▼
インバウンドアウトバウンド
エンドポイントエンドポイント
             +
          Resolver ルール

1. SAP-C02公式範囲との対応

SAP-C02 タスク 1.1では、ハイブリッドDNSとしてAmazon Route 53 ResolverとオンプレミスDNSの統合を判断できることが重要です。ここではAWSとオンプレミスの双方向名前解決をアーキテクチャとして設計します。

2. Amazon Route 53 VPC ResolverとVPC + 2

AWS公式では従来のRoute 53 ResolverをAmazon Route 53 VPC Resolverと呼びます。VPC内ではAmazon提供DNSリゾルバーを利用でき、IPv4 VPCでは代表的にVPCネットワークアドレス + 2でアクセスできます。

10.0.0.0/16
↓
10.0.0.2

ただし、オンプレミスからこのVPC + 2へ直接DNSクエリを転送する方式をハイブリッドDNSの入口にはしません。VPC外部からAWSプライベートDNSへ入る場合はResolverインバウンドエンドポイントを使用します。

3. ハイブリッドDNSは方向から決める

名前解決の方向	主な構成
オンプレミス → AWS	Resolverインバウンドエンドポイント
AWS → オンプレミス	Resolverアウトバウンドエンドポイント + Resolverルール
双方向	両方を組み合わせる

「インバウンド / アウトバウンド」は利用者の位置ではなく、AWS VPC Resolverから見たDNSクエリの方向で判断します。

4. オンプレミス → AWS：インバウンドエンドポイントと条件付き転送

インバウンドエンドポイント

Resolverインバウンドエンドポイントは、AWS外部のネットワークからVPC ResolverへDNSクエリを入れる入口です。

オンプレミスDNS
      │ 条件付き転送
      ▼
インバウンドエンドポイント
      │
      ▼
Amazon Route 53 VPC Resolver
      │
      ▼
プライベートホスト型ゾーン / AWSプライベートDNS

エンドポイントにはVPC内のプライベートIPアドレスが割り当てられるため、Site-to-Site VPNやAWS Direct ConnectなどでそのIPまで到達できる必要があります。

条件付き転送

オンプレミスDNSでは、AWS側が権威を持つ名前空間だけをインバウンドエンドポイントへ転送します。

aws.internal
↓
インバウンドエンドポイント IP

すべての名前を無条件にAWSへ送るのではなく、どのDNS名前空間をどちらが解決するかを先に決めます。

5. AWSプライベート名前空間

Amazon Route 53プライベートホストゾーンは、関連付けたVPC内からのみ利用するプライベートDNS名前空間を提供します。オンプレミスからその名前を解決する場合は、ネットワーク到達性とインバウンドエンドポイントを組み合わせます。

6. AWS → オンプレミス：アウトバウンドエンドポイントとResolver ルール

アウトバウンドエンドポイント

Resolverアウトバウンドエンドポイントは、AWS側からオンプレミスなど別ネットワークのDNSサーバーへクエリを送るために使用します。

EC2 / AWSワークロード
      │
      ▼
Amazon Route 53 VPC Resolver
      │ Resolver ルール
      ▼
アウトバウンドエンドポイント
      │
      ▼
オンプレミス DNS

Resolver ルール

アウトバウンドエンドポイントを作成しただけでは、どのDNS名をオンプレミスへ送るかは決まりません。Resolverルールで対象ドメインと転送先DNSサーバーを指定し、そのルールを利用するVPCへ関連付けます。

corp.internal
↓
転送ルール
↓
オンプレミス DNS

7. より具体的なドメインルールを優先する

複数のResolverルールへ一致する場合は、より具体的なドメイン名のルールが選択されます。

example.com     → DNS-A
dev.example.com → DNS-B

api.dev.example.com
→ DNS-B

したがって、広いルールと例外ルールを組み合わせる場合は名前空間の包含関係を確認します。

8. 双方向ハイブリッド DNS

企業環境では、オンプレミスからAWSのプライベート名を解決し、AWSからオンプレミスの内部名も解決する双方向構成がよくあります。

オンプレミス DNS
      │
      │ aws.internal
      ▼
インバウンドエンドポイント
      │
      ▼
Amazon Route 53 VPC Resolver
      │
      │ corp.internal
      ▼
アウトバウンドエンドポイント
      │
      ▼
オンプレミス DNS

重要なのは、インバウンドとアウトバウンドを「セットだから作る」のではなく、必要な名前解決方向ごとに配置することです。

9. プライベートホストゾーンとResolver ルールの競合

同じドメイン名についてプライベートホストゾーンとResolverルールが存在する場合は、Resolverルールが優先されます。またプライベートホストゾーンへ一致したものの対象レコードが存在しない場合、通常はパブリック DNSへ自動フォールバックせずNXDOMAINになります。

ハイブリッドDNSでは、同じ名前空間をAWS側とオンプレミス側の両方へ曖昧に持たせないことが重要です。

10. DNSの中央集約

多数のVPCから同じオンプレミスDNSへ転送する場合、各VPCへアウトバウンドエンドポイントを大量作成するのではなく、共有DNS VPCへエンドポイントを集約する構成を評価できます。

VPC-A ─┐
VPC-B ─┼─ Resolver ルール
VPC-C ─┘       │
               ▼
        共有 DNS VPC
        アウトバウンドエンドポイント
               │
               ▼
        オンプレミス DNS

ResolverルールはAWS Resource Access Manager（AWS RAM）を利用して他アカウントやOUへ共有できます。

11. 可用性はエンドポイント IP / AZで考える

Resolver エンドポイントでは複数のIPアドレスを使います。各エンドポイントには最低2つのIPアドレスを指定し、可用性のため異なる可用性ゾーンへ配置します。

Resolverエンドポイント
├─ AZ-A → エンドポイントIP
└─ AZ-B → エンドポイントIP

DNSは多くのアプリケーションの前提になる共通基盤です。特定のエンドポイント IPだけへ依存せず、複数AZのエンドポイント IPを利用する設計にします。

12. DNS設定だけでなくネットワーク到達性も必要

Resolverルールが正しくても、アウトバウンドエンドポイントからオンプレミスDNSへ到達できなければ名前解決は失敗します。

確認対象	役割
ルート	エンドポイントとDNSサーバー間の経路
セキュリティグループ	エンドポイントENIのDNS通信許可
ファイアウォール	オンプレミス側のDNS通信許可
Resolver ルール	転送対象ドメインと転送先

13. 現行仕様として知っておく範囲

現在のAmazon Route 53 VPC Resolverには転送 / 委任 / システムなど複数のルール種別があり、エンドポイントではDNS over HTTPS（DoH）を含むプロトコルも利用できます。ただし、SAP-C02では、細かな機能一覧の暗記よりも、インバウンド / アウトバウンドと条件付き転送の判断を優先します。

ハイブリッド DNSの判断軸
↓
条件付き 転送
↓
転送ルール
↓
インバウンド / アウトバウンドの方向を正しく選ぶ

委任やシステムルール、DoHの詳細は、この判断に必要になった場合の補足として扱います。

14. DNS ループを作らない

AWS側で「すべてオンプレミスへ」、オンプレミス側で「すべてAWSへ」と転送すると、DNSクエリのループが発生する可能性があります。名前空間ごとに解決責任を決め、必要なドメインだけを条件付き転送します。

15. 混同ポイント

オンプレミス → VPC + 2：外部から直接利用せずインバウンドエンドポイントを使う。
AWS → オンプレミス = インバウンド：逆。アウトバウンドエンドポイント + Resolver ルール。
アウトバウンドエンドポイントだけ作成：転送対象ドメインをResolver ルールで定義する。
DNSだけ設定：ルート / セキュリティグループ / ファイアウォールも必要。
プライベートホストゾーンにレコードがないのでパブリックへフォールバック：通常はNXDOMAIN。
全ドメインを双方へ転送：DNSループを作り得る。

16. SAP-C02判断フローとまとめ

判断フロー

ハイブリッド DNSが必要
        │
        ▼
どちら向きの名前解決？
        │
   ┌────┴────┐
   │         │
オンプレミス     AWS
→ AWS       → オンプレミス
   │         │
   ▼         ▼
インバウンドアウトバウンド
エンドポイントエンドポイント
             +
          Resolver ルール

        ↓

対象ドメインを限定

        ↓

ルート / SG / ファイアウォール確認

        ↓

可用性
→ 複数IP / 複数AZ

        ↓

多数VPC
→ エンドポイント中央化
→ ルール共有を評価

まとめ

オンプレミス → AWSプライベートDNS
→ インバウンドエンドポイント

AWS → オンプレミス DNS
→ アウトバウンドエンドポイント + Resolver ルール

条件付き 転送
→ ドメインごとに送信先を分離

多数VPC
→ エンドポイント中央化 + ルール共有を評価

DNS障害
→ ルールだけでなくルート / SG / ファイアウォールも確認

可用性
→ エンドポイント IPを複数AZへ分散

最重要ポイント：ハイブリッドDNSでは「誰が、どのドメインを、どちら側で解決するか」を先に決め、その方向に合わせてインバウンド / アウトバウンドを選びます。

主要AWS公式資料

理解確認

このページの内容を14問で確認します。

理解確認14問へ →