Como faço para descobrir a qual conta da AWS uma distribuição do CloudFront pertence?

Breve descrição

Para encontrar informações sobre uma conta da AWS à qual uma distribuição pertence, use o comando ListConflictingAliases para obter informações sobre a conta da AWS.

Primeiro, crie uma nova distribuição do CloudFront e associe-a a um certificado SSL. Esse certificado SSL deve abranger o domínio associado à distribuição do CloudFront cuja conta da AWS você está tentando localizar.

Em seguida, execute o comando ListConflictingAliases. Use o ID da nova distribuição e o nome de domínio alternativo associado à distribuição que você deseja encontrar.

Observação: para usar esse método, a distribuição deve ter um nome de domínio alternativo associado a ela. Se a distribuição do CloudFront que você está tentando localizar não tiver um nome de domínio alternativo associado, entre em contato com o AWS Support.

Resolução

Crie uma distribuição do CloudFront

Crie uma nova distribuição do CloudFront. Faça o seguinte ao criar a distribuição:

• Associe um certificado SSL que abrange o domínio associado à distribuição do CloudFront cuja conta da AWS você está tentando localizar.
• Não especifique um nome de domínio em Alternate Domain Name (Nome de domínio alternativo). Um valor nesse campo causa o erro "CNAME already exists".

Se você não quiser criar uma nova distribuição, é possível atualizar uma distribuição existente do CloudFront com um certificado SSL personalizado.

Execute o comando ListConflictingAliases

Observação: o comando ListConflictingAliases exige as permissões GetDistribution e ListConflictingAliases. Para verificar a propriedade, você deve ter acesso de leitura a YourDistributionID. Você também deve ter um certificado associado que proteja o CNAME conflitante.

1. Na política do AWS Identity and Access Management (AWS IAM) na distribuição que você criou, adicione as seguintes permissões em nível de recurso. Dê as permissões ao usuário ou ao perfil do IAM que está fazendo a solicitação da API. Em DISTRIBUTION-ID, insira o ID da nova distribuição que você criou.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "CloudFrontCnameSwapCrossAcc",
         "Effect": "Allow",
         "Action": [
                   "cloudfront:GetDistribution",
                   "cloudfront:ListConflictingAliases"
         ],
         "Resource": [
           "arn:aws:cloudfront::123456789:distribution/DISTRIBUTION-ID"
         ]
       }
     ]
   }

2. Verifique se a nova distribuição tem um certificado válido.

3. Execute o comando ListConflictingAliases. Em YourDistributionId, insira o ID da nova distribuição criada em sua conta da AWS. Em YourCNAME, insira o alias (nome de domínio alternativo) associado à distribuição do CloudFront que você está tentando localizar.

   aws cloudfront list-conflicting-aliases --distribution-id YourDistributiontID --alias YourCNAME

4. A saída fornece uma lista de distribuições do CloudFront e o ID da conta associada que está em conflito com o alias que você inseriu no comando ListConflictingAliases.
   O nome de domínio no parâmetro --alias está associado à distribuição do CloudFront que você está tentando encontrar. O ID da conta da AWS associado ao ID da distribuição também está listado na saída.
   Por exemplo:

   aws cloudfront list-conflicting-aliases --distribution-id EABCDSXK9UXYZ --alias www.example.com
   {
     "ConflictingAliasesList": {
       "MaxItems": 100,
       "Quantity": 1,
       "Items": [
         {
           "Alias": "www.example.com",
           "DistributionId": "*******NOOCXYZ",
           "AccountId": "******091234"
         }
       ]
     }
   }

Observação: use a conta gerenciada da AWS para gerenciar as distribuições do CloudFront que você cria por meio de um endpoint de API otimizado para borda no API Gateway ou na hospedagem gerenciada do AWS Amplify. Nesse caso, o ID da conta da AWS na saída está relacionado à conta gerenciada da AWS. As distribuições do CloudFront que você cria para um endpoint de API otimizado para borda no API Gateway têm um ID de conta do API Gateway específico da região. Para obter uma lista completa de IDs de contas do API Gateway específicos da região, consulte Registrar a criação do nome de domínio personalizado no CloudTrail em log.