Come faccio a sapere a quale account AWS appartiene una distribuzione CloudFront?

Breve descrizione

Per trovare informazioni su un account AWS a cui appartiene una distribuzione, utilizza il comando ListConflictingAliases per ottenere informazioni sull'account AWS.

Innanzitutto, crea una nuova distribuzione CloudFront e associala a un certificato SSL. Il certificato SSL deve coprire il dominio associato alla distribuzione CloudFront di cui stai cercando di individuare il rispettivo account AWS.

Quindi, esegui il comando ListConflictingAliases, utilizzando l'ID della nuova distribuzione e il nome di dominio alternativo associato alla distribuzione che desideri trovare.

Nota: per utilizzare questo metodo, alla distribuzione deve essere associato un nome di dominio alternativo. Se alla distribuzione CloudFront che stai cercando di individuare non è associato alcun nome di dominio alternativo, contatta AWS Support.

Risoluzione

Crea una distribuzione CloudFront

Crea una nuova distribuzione CloudFront e assicurati di:

• Associare un certificato SSL che copra il dominio associato alla distribuzione CloudFront di cui stai cercando di individuare il rispettivo account AWS.
• Non specificare un nome di dominio in Nome di dominio alternativo. Un valore in questo campo causa l'errore "CNAME already exists" (CNAME esistente).

Se non desideri creare una nuova distribuzione, è possibile aggiornare una distribuzione CloudFront esistente con un certificato SSL personalizzato.

Esegui il comando ListConflictingAliases

Nota: il comando ListConflictingAliases richiede le autorizzazioni GetDistribution e ListConflictingAliases. Per verificare la proprietà, è necessario avere accesso in lettura a YourDistributionID. È inoltre necessario disporre di un certificato associato che protegge il CNAME in conflitto.

1.    Nella policy di AWS Identity and Access Management (IAM) per la distribuzione creata, aggiungi le seguenti autorizzazioni a livello di risorsa per l'utente o il ruolo IAM che effettua la richiesta API.

Per DISTRIBUTION-ID, inserisci l'ID della nuova distribuzione creata.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CloudFrontCnameSwapCrossAcc",
      "Effect": "Allow",
      "Action": [
                "cloudfront:GetDistribution",
                "cloudfront:ListConflictingAliases"
      ],
      "Resource": [
        "arn:aws:cloudfront::123456789:distribution/DISTRIBUTION-ID"
      ]
    }
  ]
}

2.    Verifica che la nuova distribuzione disponga di un certificato valido.

3.    Esegui il comando ListConflictingAliases:

$ aws cloudfront list-conflicting-aliases --distribution-id YourDistributiontID --alias YourCNAME

Per YourDistributionId, inserisci l'ID della nuova distribuzione creata nel tuo account AWS. Per YourCNAME, inserisci l'alias (nome di dominio alternativo) associato alla distribuzione CloudFront che stai cercando di individuare.

4.    L'output fornisce un elenco di distribuzioni CloudFront e l'ID dell'account associato che è in conflitto con l'alias inserito nel comando ListConflictingAliases.
Il nome di dominio nel parametro --alias è associato alla distribuzione CloudFront che stai cercando di trovare. Nell'output è anche elencato l'ID dell'account AWS associato all'ID di distribuzione.
Ad esempio:

$ aws cloudfront list-conflicting-aliases --distribution-id EABCDSXK9UXYZ --alias www.example.com
{
  "ConflictingAliasesList": {
    "MaxItems": 100,
    "Quantity": 1,
    "Items": [
      {
        "Alias": "www.example.com",
        "DistributionId": "*******NOOCXYZ",
        "AccountId": "******091234"
      }
    ]
  }
}

Nota: le distribuzioni CloudFront create tramite endpoint API ottimizzati per edge in API Gateway o attraverso l'hosting gestito da AWS Amplify sono gestite dall'account gestito da AWS. In questo caso, l'ID dell'account AWS nell'output è correlato all'account gestito da AWS. Le distribuzioni CloudFront create per endpoint API ottimizzati per edge in API Gateway possono essere identificate da un ID account API Gateway specifico per regione. Per un elenco completo degli ID account API Gateway specifici per regione, consulta Registrare la creazione di nomi di dominio personalizzati in CloudTrail.

---