Comment puis-je savoir à quel compte AWS appartient une distribution CloudFront ?

Brève description

Pour obtenir des informations sur un compte AWS auquel appartient une distribution, utilisez la commande ListConflictingAliases pour obtenir des informations sur le compte AWS.

Commencez par créer une nouvelle distribution CloudFront et associez-la à un certificat SSL. Ce certificat SSL doit couvrir le domaine associé à la distribution CloudFront dont vous essayez de localiser le compte AWS.

Ensuite, exécutez la commande ListConflictingAliases, en utilisant l'ID de la nouvelle distribution et le nom de domaine alternatif associé à la distribution que vous souhaitez rechercher.

Remarque : Pour utiliser cette méthode, la distribution doit être associée à un autre nom de domaine. Si aucun autre nom de domaine n'est associé à la distribution CloudFront que vous essayez de localiser, contactez AWS Support.

Solution

Création d'une distribution CloudFront

Créez une distribution CloudFront et veillez à :

• Associer un certificat SSL qui couvre le domaine associé à la distribution CloudFront dont vous essayez de localiser le compte AWS.
• Ne pas spécifier de nom de domaine dans Nom de domaine alternatif. Une valeur dans ce champ provoque l'erreur « CNAME existe déjà ».

Si vous ne souhaitez pas créer de distribution, vous pouvez mettre à jour une distribution CloudFront existante avec un certificat SSL personnalisé.

Exécuter la commande ListConflictingAliases

Remarque : La commande ListConflictingAliases nécessite les autorisations GetDistribution et ListConflictingAliases. Pour vérifier la propriété, vous devez disposer d'un accès en lecture à YourDistributionID. Vous devez également disposer d'un certificat associé qui sécurise le CNAME conflictuel.

1.    Dans la politique AWS Identity and Access Management (IAM) pour la distribution que vous avez créée, ajoutez les autorisations de niveau ressource suivantes à l'utilisateur ou au rôle IAM qui effectue la demande d'API.

Pour DISTRIBUTION-ID, entrez l'ID de la distribution que vous avez créée.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CloudFrontCnameSwapCrossAcc",
      "Effect": "Allow",
      "Action": [
                "cloudfront:GetDistribution",
                "cloudfront:ListConflictingAliases"
      ],
      "Resource": [
        "arn:aws:cloudfront::123456789:distribution/DISTRIBUTION-ID"
      ]
    }
  ]
}

2.    Vérifiez que la nouvelle distribution possède un certificat valide.

3.    Exécutez la commande ListConflictingAliases :

$ aws cloudfront list-conflicting-aliases --distribution-id YourDistributiontID --alias YourCNAME

Pour YourDistributionId, saisissez l'ID de la distribution créée dans votre compte AWS. Pour YourCName, entrez l'alias (nom de domaine alternatif) associé à la distribution CloudFront que vous essayez de localiser.

4.    La sortie fournit une liste des distributions CloudFront et l'ID de compte associé en conflit avec l'alias que vous avez saisi dans la commande ListConflictingAliases.
Le nom de domaine dans le paramètre --alias est associé à la distribution CloudFront que vous essayez de trouver. L'ID de compte AWS associé à l'ID de distribution est également affiché dans la sortie.
Par exemple :

$ aws cloudfront list-conflicting-aliases --distribution-id EABCDSXK9UXYZ --alias www.example.com
{
  "ConflictingAliasesList": {
    "MaxItems": 100,
    "Quantity": 1,
    "Items": [
      {
        "Alias": "www.example.com",
        "DistributionId": "*******NOOCXYZ",
        "AccountId": "******091234"
      }
    ]
  }
}

Remarque : la distribution CloudFront créée au moyen d'un point de terminaison d'API optimisé pour la périphérie dans l'API Gateway ou l'hébergement géré AWS Amplify est gérée par le compte géré par AWS. Dans ce cas, l'ID de compte AWS dans la sortie est lié au compte géré par AWS. Les distributions CloudFront créées pour un point de terminaison d'API optimisé pour la périphérie dans l'API Gateway peuvent être identifiées par un ID de compte d'API Gateway spécifique à la région. Pour obtenir la liste complète des ID de compte d'API Gateway spécifiques à une région, consultez Enregistrement de la création de noms de domaine personnalisés dans CloudTrail.