MercadoFresco ja té una xarxa pròpia, un tallafocs per capes, un balancejador que reparteix el trànsit entre dues zones de disponibilitat i una CDN que serveix el catàleg des de Madrid per 0,97 USD al mes. I tanmateix, un client no pot comprar res, perquè la botiga respon a alb-mercadofresco-tienda-1234567890.eu-west-1.elb.amazonaws.com i el catàleg a d111111abcdef8.cloudfront.net. A més, els dos certificats d'ACM que vam demanar a les lliçons 03-03 i 03-04 continuen en PENDING_VALIDATION, esperant uns registres DNS que encara no existeixen.

Amazon Route 53 és el servei de DNS d'AWS: tradueix noms a adreces, sí, però a més comprova la salut de les destinacions i decideix a quina envia cada visitant segons el pes, la latència, el país o l'estat del sistema. El seu nom ve del port 53, el port del DNS.

En aquesta lliçó la Marta fa que mercadofresco.example apunti al núvol, valida els certificats, tanca l'HTTPS pendent i deixa preparades les polítiques d'encaminament que MercadoFresco necessitarà: el canari del 10 % per a desplegaments segurs, la geolocalització per obrir a Portugal i la commutació per error a una pàgina de manteniment. I amb això tanquem el mòdul 3.

1. Repàs pràctic de DNS: zones, delegació, resolució i TTL
2. Registrar i transferir dominis a Route 53
3. Zones allotjades públiques i privades
4. Tipus de registre
5. Registres d'àlies: la peça que només té AWS
6. Validar el certificat d'ACM per DNS
7. Comprovacions d'estat de Route 53
8. Polítiques d'encaminament, una a una
9. Configurar el DNS de MercadoFresco per consola i per CLI
10. Route 53 Resolver i les regles de reenviament cap a l'oficina
11. Costos de Route 53 i neteja
12. Tancament del mòdul: l'arquitectura de xarxa completa

El DNS (Domain Name System) és una base de dades distribuïda i jeràrquica que tradueix noms a adreces. La seva estructura es llegeix de dreta a esquerra:

Una zona és la porció de l'arbre de la qual algú és responsable. Quan MercadoFresco registra mercadofresco.example, es converteix en responsable d'aquella zona i de tot el que en pengi.

La delegació és el mecanisme que connecta els nivells: els servidors de .example no coneixen la IP de la botiga; només saben dir «per a tot el de mercadofresco.example, pregunta a aquests quatre servidors de noms». Això s'expressa amb registres NS.

La resolució recursiva, pas a pas:

Quatre conceptes que surten d'aquest diagrama:

• Route 53 és el servidor autoritatiu: la font de la veritat de la zona.
• El resolutor recursiu (el de l'operador, o el 8.8.8.8 de Google) fa la feina d'anar preguntant i desa el resultat a la memòria cau.
• El TTL és quants segons es pot desar aquella resposta a la memòria cau. Route 53 només cobra les consultes que li arriben, així que un TTL alt estalvia diners, però alenteix els canvis.
• Route 53 fa servir anycast: els mateixos servidors de noms s'anuncien des de molts punts del món, i cada consulta arriba al més proper.

Com triar el TTL:

La tècnica de baixar el TTL a 60 uns quants dies abans d'una migració és la que separa una migració tranquil·la d'un diumenge llarg: el TTL antic ha de caducar a totes les memòries cau del món abans que el nou tingui efecte.

Route 53 fa tres coses diferents que convé no confondre:

Es poden fer servir per separat: és perfectament vàlid tenir el domini registrat a un altre proveïdor i el DNS a Route 53. Només cal canviar els servidors de noms al tauler del registrador perquè apuntin als quatre que Route 53 assigna a la zona.

Dos ajustos que cal verificar sempre després de registrar un domini:

• Renovació automàtica activada. Un domini caducat és una botiga apagada, i recuperar-lo pot ser impossible.
• Bloqueig de transferència activat. Impedeix que algú mogui el domini a un altre registrador sense autorització.

Route 53 inclou a més la privacitat del registre sense cost addicional: les dades de contacte de MercadoFresco no apareixen a les consultes WHOIS públiques.

Una zona allotjada (hosted zone) és el contenidor de tots els registres d'un domini. N'hi ha dos tipus i la seva diferència és fonamental:

La zona privada resol un problema molt concret. Avui l'aplicació es connecta a la base de dades amb un nom horrible com mercadofresco-pedidos.abc123xyz.eu-west-1.rds.amazonaws.com. Amb una zona privada associada a vpc-mercadofresco, aquell nom es pot substituir per bd.interno.mercadofresco.example, que a més es pot reapuntar a una altra instància sense tocar la configuració de l'aplicació.

Requisit important: perquè una zona privada funcioni, la VPC ha de tenir enableDnsSupport i enableDnsHostnames a true. És exactament l'ajust que vam activar a 03-01 i l'oblit del qual és la causa número u que una zona privada «no resolgui».

Els registres són les entrades de la zona. Aquests són els que MercadoFresco necessita:

Dos que mereixen un comentari:

CAA. Amb aquest registre, MercadoFresco declara que només Amazon pot emetre certificats per al seu domini. Si un atacant aconseguís enganyar una altra autoritat certificadora, aquella autoritat consultaria el CAA i es negaria a emetre'l. Costa zero i evita una classe sencera d'atacs:

CNAME i la seva limitació. Un CNAME diu «aquest nom és en realitat aquell altre». L'RFC 1034 prohibeix que un nom amb un CNAME tingui cap altre registre. I el vèrtex del domini (mercadofresco.example, sense www) té obligatòriament registres SOA i NS. Per tant:

El vèrtex d'un domini NO pot tenir un registre CNAME. Mai.

Això és un problema seriós, perquè un ALB i una distribució de CloudFront no tenen IP fixa: només tenen noms. No es pot posar un registre A, perquè no hi ha IP per posar-hi, i no es pot posar un CNAME, perquè és el vèrtex. La solució és el que ve ara.

Un registre d'àlies és una extensió pròpia de Route 53. Per fora es comporta com un registre A (o AAAA): retorna una IP. Per dins, Route 53 resol al moment quina és la IP actual del recurs d'AWS al qual apunta.

Tres avantatges concrets i mesurables:

1. Funciona al vèrtex. mercadofresco.example pot apuntar a CloudFront. Amb CNAME seria impossible.
2. És de franc. Route 53 no cobra les consultes resoltes per àlies cap a recursos d'AWS. Amb 1,2 milions de consultes al mes, són uns 0,48 USD que no es paguen; a escala, molt més.
3. És més ràpid. Un CNAME obliga el resolutor a fer dues consultes: primer el nom original, després la destinació. Un àlies retorna la IP en una.

A què pot apuntar un àlies:

La regla pràctica: si la destinació és un recurs d'AWS, fes servir àlies sempre. CNAME només per a serveis de tercers.

Ara es tanca el que va quedar pendent a 03-03 i 03-04. ACM necessita comprovar que el domini és teu, i la manera de demostrar-ho és crear un registre CNAME concret que només pot crear qui controli la zona.

Retorna una cosa com:

Hi ha una drecera que crea el registre automàticament si el domini és a Route 53 al mateix compte:

Cal repetir-ho amb el certificat de us-east-1 que vam demanar per a CloudFront. Detall útil: com que tots dos certificats cobreixen els mateixos dominis, el registre CNAME de validació és idèntic, així que a la pràctica n'hi ha prou de crear-lo un cop i tots dos es validen.

Dues propietats de la validació per DNS que la fan molt superior a la validació per correu:

• La renovació és automàtica. Mentre el registre CNAME continuï existint, ACM renova el certificat sol, cada any, per sempre. No esborris mai aquell registre.
• No depèn que algú llegeixi un correu. La validació per correu s'envia a [email protected] i caduca en 72 hores; si ningú no l'obre, cal començar de nou.

Amb els certificats emesos, ja pots crear de debò l'oient HTTPS de l'ALB de 03-03 i associar el domini propi a la distribució de CloudFront de 03-04. L'HTTPS de MercadoFresco queda tancat.

Route 53 pot vigilar destinacions des d'una xarxa global de comprovadors i fer servir el resultat per decidir què respon. Són la base de la política de commutació per error.

Detalls importants:

• Fa servir la mateixa ruta /salud que l'ALB de 03-03, i per les mateixes raons: ha de ser ràpida i local.
• Els comprovadors de Route 53 vénen d'internet, des d'unes 15 ubicacions. La destinació ha de ser accessible públicament; una comprovació contra una instància en subxarxa privada mai no passarà.
• Amb RequestInterval: 30 i FailureThreshold: 3, una fallada es detecta en uns 90 segons. Hi ha una opció de 10 segons (fast interval) que costa més.
• MeasureLatency: true afegeix gràfiques de latència per regió, molt útils i sense cost extra.
• Cost: 0,50 USD al mes per comprovació d'una destinació d'AWS, 0,75 USD si és externa.

Aquí Route 53 deixa de ser «una taula de noms» i es converteix en una eina d'arquitectura. Cada política respon una pregunta diferent.

Un nom, una destinació. És la política per defecte i la que MercadoFresco fa servir per a gairebé tot.

No admet comprovacions d'estat. Si la destinació cau, Route 53 continua retornant-la.

S'assigna un pes a cada destinació i Route 53 reparteix proporcionalment: pes de la destinació ÷ suma de tots els pesos.

Cas de MercadoFresco: el Luis desplegarà la versió nova de la botiga i vol que només el 10 % dels clients la rebi, per poder mesurar errors abans d'exposar-la a tothom.

Tres detalls del JSON:

• SetIdentifier és obligatori en tota política que no sigui simple: és el que distingeix dos registres amb el mateix nom i tipus.
• HostedZoneId: Z32O12XQLNTSW2 no és la zona de MercadoFresco: és l'identificador de zona del servei ELB a eu-west-1, un valor fix publicat per AWS. Cada servei i regió té el seu, i confondre'l amb la zona pròpia és un error habitual. Per a CloudFront sempre és Z2FDTNDATAQYW2.
• EvaluateTargetHealth: true fa que, si un ALB no té destinacions sanes, Route 53 deixi de retornar-lo i enviï tot el trànsit a l'altre.

Posar un pes a 0 retira una destinació sense esborrar el registre: la manera més ràpida d'avortar un canari. Aquest mecanisme reapareix a la lliçó 08-03, quan CodeDeploy automatitzi el desplegament progressiu.

Route 53 respon amb la destinació de la regió que mesura menys latència per al resolutor que pregunta. No és «el més proper geogràficament», sinó el més ràpid segons mesures reals d'AWS.

Escenari futur de MercadoFresco: si l'expansió funciona i s'obre una regió a eu-central-1 per a Alemanya, un client de Munic aniria a Frankfurt i un de Sevilla a Irlanda, amb el mateix nom. Avui, amb una sola regió, aquesta política no aporta res.

Encamina segons d'on és el visitant: continent, país o, als Estats Units, estat. És una decisió de contingut, no de rendiment.

Cas de MercadoFresco: obrir a Portugal amb la botiga en portuguès i preus amb el seu IVA.

El registre per defecte és la part que s'oblida i provoca la incidència més difícil de reproduir: tot funciona a l'oficina i un client d'Andorra rep «servidor no trobat».

Existeix a més l'encaminament per proximitat geogràfica (geoproximity), que permet desplaçar el repartiment amb un biaix numèric —«amplia un 30 % el radi de la regió d'Irlanda»— i que només es pot configurar amb Route 53 Traffic Flow.

Una destinació primària i una altra de secundària. Route 53 retorna la primària mentre la seva comprovació d'estat estigui sana; si falla, retorna la secundària.

Cas de MercadoFresco: si l'ALB cau sencer, en comptes d'un error de connexió, els clients veuen una pàgina estàtica allotjada a S3 explicant la situació i amb el telèfon d'atenció.

La pàgina de manteniment viu en un bucket de lloc estàtic (tècnica de 02-03) que s'ha de dir exactament igual que el nom DNS: directo.mercadofresco.example. És un requisit d'S3 per allotjar llocs web amb domini propi.

I la limitació honesta: el DNS té memòria cau. Si el TTL és de 300 segons, alguns clients continuaran anant a l'ALB caigut durant cinc minuts. Per això la commutació per error de DNS és una xarxa de seguretat d'últim recurs, i l'alta disponibilitat de debò és la que ja vam muntar: dues zones de disponibilitat darrere d'un mateix ALB, que commuta en segons i sense dependre del DNS.

Retorna fins a vuit registres sans alhora, triats a l'atzar, i el client en prova un. És com el repartiment per torns clàssic del DNS, però amb comprovacions d'estat: les destinacions caigudes no es retornen.

No és un balancejador: no mesura càrrega, no drena connexions i depèn que el client reintenti. Serveix per a destinacions que no són darrere d'un ALB, per exemple un conjunt de servidors de correu o d'API internes. MercadoFresco no ho necessita, tenint un ALB.

Les polítiques es poden niar amb Traffic Flow: primer geolocalització per país i, dins de cada país, ponderada per al canari. És la manera de combinar «Portugal veu la botiga portuguesa» amb «el 10 % dels portuguesos veu la versió nova».

1. Route 53 → Zones allotjades → mercadofresco.example.
2. Crear registre. Nom en blanc per al vèrtex.
3. Activar Àlies, triar «Àlies a distribució de CloudFront» i seleccionar la distribució.
4. Política d'encaminament: Simple. Desar.
5. Repetir amb www, aquest cop «Àlies a un altre registre d'aquesta zona» → el vèrtex.
6. Per als registres MX, TXT i CAA: desactivar Àlies i introduir els valors, un per línia.

La consola té un avantatge real aquí: en triar una destinació d'àlies l'ofereix en una llista, així que no hi ha manera d'equivocar-se amb el HostedZoneId del servei.

change-resource-record-sets aplica un lot de canvis de manera atòmica: o s'apliquen tots o cap.

Notes sobre aquest lot:

• UPSERT crea el registre si no existeix i l'actualitza si existeix. És idempotent, cosa que el fa segur de reexecutar. CREATE fallaria a la segona execució i DELETE exigeix que els valors coincideixin exactament.
• Els registres d'àlies no porten TTL: ho gestiona AWS.
• El registre TXT porta cometes dins del valor, escapades al JSON. És un error habitual ometre-les.
• Z2FDTNDATAQYW2 és l'identificador de zona de CloudFront, idèntic a tot el món; Z32O12XQLNTSW2 és el d'ELB a eu-west-1.

Comprovació des de fora, que és l'única cosa que confirma que funciona de debò:

El Route 53 Resolver és el resolutor que viu a l'adreça .2 de la VPC (10.0.0.2) i que ja vam conèixer a 03-01. A més de resoldre noms d'AWS i de les zones privades, admet dos tipus de regla per connectar-se amb la xarxa de l'oficina:

El seu ús real requereix la connectivitat de xarxa que només aporta una VPN o Direct Connect, que vam esmentar a 03-01 i que queda fora de l'abast d'aquest curs. Cost orientatiu: cada endpoint són dues ENI i costa uns 0,125 USD per hora i per ENI, així que no és un recurs per deixar encès per curiositat.

⚠️ Avís de cost

Concepte	Preu	MercadoFresco
Zona allotjada	0,50 USD/mes cadascuna (les 25 primeres)	2 zones → 1,00 USD/mes
Consultes estàndard	0,40 USD per milió (primers 1.000 M)	~1,2 M → 0,48 USD
Consultes resoltes per àlies a recursos d'AWS	Gratuïtes	La majoria → 0,00 USD
Consultes d'encaminament especial (latència, geo)	0,60 USD per milió	Marginal
Comprovació d'estat (destinació d'AWS)	0,50 USD/mes	1 → 0,50 USD/mes
Comprovació d'estat (destinació externa)	0,75 USD/mes	—
Registre del domini	Segons el TLD, anual	—
Total estimat		≈ 1,60 USD/mes

Route 53 és, amb diferència, el més barat del mòdul. Però hi ha un detall desagradable: la zona allotjada es cobra des del moment en què es crea, encara que no tingui registres, i es cobren les 12 primeres hores encara que l'esborris. Crear i esborrar zones per practicar no surt de franc.

Neteja (cal buidar la zona abans d'esborrar-la; els registres NS i SOA se'n van sols):

# Esborrar tots els registres que no siguin NS ni SOA
aws route53 list-resource-record-sets --profile mercadofresco-dev \\
  --hosted-zone-id "$ZONA_PUB" \\
  --query 'ResourceRecordSets[?Type!=`NS` && Type!=`SOA`]' > registres.json
# (construir el change-batch amb "Action": "DELETE" per a cadascun i aplicar-lo)

aws route53 delete-hosted-zone --profile mercadofresco-dev --id "$ZONA_PUB"
aws route53 delete-health-check --profile mercadofresco-dev --health-check-id "$HC_ID"

El que no es pot desfer: el registre d'un domini no és reemborsable i no es pot cancel·lar. Només es registra un domini quan es farà servir de debò.

I en diners, la xarxa completa de MercadoFresco:

Els dos NAT Gateway són el 64 % de la despesa de xarxa i seran el primer candidat a revisar a la lliçó 11-03 amb Cost Explorer.

La xarxa està construïda i protegida a nivell de paquets, però queden quatre buits que són exactament el contingut del mòdul 4:

• Permisos fins: qui pot fer què al compte. Avui hi ha un usuari admin i rols creats a mida, sense política de mínim privilegi sistemàtica → 04-01, IAM.
• Xifratge gestionat: la clau alias/mercadofresco-datos existeix, però no s'ha estudiat com es governa, es rota ni es comparteix → 04-02, KMS.
• Secrets: la contrasenya de mfadmin continua estant on no hauria d'estar → 04-03, Secrets Manager i Parameter Store.
• Protecció davant d'atacs: la NACL amb què vam bloquejar una IP a 03-02 no escala, i una denegació de servei distribuïda tombaria la botiga malgrat tot el que hem muntat → 04-04, Shield i 04-05, WAF, tots dos aplicats a la vora de CloudFront.

Intentar posar un CNAME al vèrtex del domini. Està prohibit per l'estàndard. La resposta sempre és un registre d'àlies.

Oblidar el registre per defecte a geolocalització. Un visitant d'un país no contemplat no rep resposta. Crea sempre el registre amb CountryCode: "*".

Confondre el HostedZoneId de l'àlies amb el de la teva zona. El de l'AliasTarget és el del servei de destinació (Z2FDTNDATAQYW2 per a CloudFront, un de diferent per regió per a ELB), no el de mercadofresco.example.

Demanar el certificat de CloudFront a la regió equivocada. Ha d'estar a us-east-1. Ja va sortir a 03-04 i continua sent el parany més repetit.

Esborrar el registre CNAME de validació d'ACM. Sembla brossa i no ho és: sense ell, ACM no pot renovar el certificat i aquest caducarà en un any, silenciosament.

No baixar el TTL abans d'una migració. Si migres amb TTL de 86.400, alguns clients aniran a la destinació antiga durant un dia sencer. Baixa'l a 60 amb dies d'antelació.

Confiar l'alta disponibilitat al DNS. La commutació per error de Route 53 està limitada per la memòria cau dels resolutors. La disponibilitat real la dona l'ALB entre dues AZ, en segons i sense dependre del DNS.

Fer servir CNAME on hi cap un àlies. Costa diners en consultes, afegeix una consulta extra de latència i no avalua la salut de la destinació.

Oblidar la renovació automàtica del domini. Un domini caducat és una empresa desapareguda d'internet, i recuperar-lo pot ser impossible si algú el registra.

Consell d'or: després de cada canvi de DNS, verifica amb dig +short <nom> @<servidor autoritatiu> en comptes d'obrir el navegador. El navegador i el sistema operatiu tenen les seves pròpies memòries cau i et faran creure que el canvi no ha funcionat durant minuts.

MercadoFresco obre a Portugal. Requisits: els visitants de Portugal han de veure la botiga portuguesa (un grup de destinació diferent al mateix ALB), els d'Espanya la castellana, i qualsevol altre país la castellana; a més, el 10 % dels visitants portuguesos ha de rebre la versió nova de la botiga per provar-la; i si l'ALB cau, tothom ha de veure la pàgina de manteniment. Dissenya l'estructura de registres indicant polítiques, identificadors i niament.

La Marta ha creat la zona allotjada, hi ha afegit l'àlies al vèrtex i mercadofresco.example continua sense funcionar 24 hores després, mentre que dig @ns-123.awsdns-45.com mercadofresco.example sí que respon correctament. Explica què està passant i escriu les comprovacions, en ordre, per confirmar-ho.

MercadoFresco rep 5 milions de consultes DNS al mes, de les quals el 80 % es resolen per àlies cap a CloudFront. Té 2 zones allotjades i 3 comprovacions d'estat, una d'elles contra un proveïdor extern. Calcula el cost anual, i estima quant estalviaria pujant el TTL dels registres no-àlies de 300 a 3.600 segons.

Solució 1

Calen dos nivells niats, i com que Route 53 no permet niar polítiques directament en un mateix nom, es resol amb noms intermedis (que és exactament el que fa Traffic Flow per dins).

Nivell 1 — geolocalització a mercadofresco.example:

Nivell 2 — ponderació a pt.mercadofresco.example (només Portugal porta canari):

Nivell 2 — es.mercadofresco.example: política simple, àlies a l'ALB amb EvaluateTargetHealth: true.

Commutació per error: s'aplica al nivell 2, a es i a pt, cadascun amb el seu parell primari/secundari apuntant al bucket de manteniment. Posar-la al nivell 1 no funcionaria, perquè geolocalització i commutació per error no es poden combinar al mateix conjunt de registres.

Detalls que fan que això funcioni de debò:

• El registre geo-defecto és imprescindible: sense ell, un client d'Andorra o de França no rep resposta.
• Els àlies a es. i pt. són àlies a un altre registre de la mateixa zona, que també són gratuïts.
• Un canari del 10 % limitat a Portugal exposa uns pocs centenars de clients a la versió nova: suficient per detectar errors, poc per causar dany. Posar el pes de pt-canario a 0 avorta el desplegament en un minut.
• A la pràctica, i per a més de dos nivells, es faria servir Route 53 Traffic Flow, que permet dibuixar l'arbre de decisió i versionar la política.

Solució 2

El símptoma és inequívoc: Route 53 respon correctament quan se li pregunta directament, però el món no arriba a preguntar-l'hi. Això vol dir que la delegació no està feta: els servidors de noms del registrador continuen apuntant a un altre lloc.

Si els quatre noms dels passos 1 i 2 no coincideixen, aquí hi ha el problema.

Segona causa possible, si els NS sí que coincideixen: existeixen dues zones allotjades per al mateix domini (és fàcil crear-ne una de duplicada), i els registres es van afegir a la que no està delegada. Cada zona té servidors de noms diferents.

Si en retorna més d'una, cal quedar-se amb la delegada i esborrar l'altra.

Tercera causa: una zona privada amb el mateix nom que la pública, associada a la VPC. Des de dins de la VPC es resoldria la privada i des de fora la pública, donant resultats contradictoris segons des d'on es provi. És l'anomenat split-horizon DNS, útil quan és intencionat i molt confús quan no ho és.

Quarta causa, la més trivial: la memòria cau local. Es descarta comparant dig +short mercadofresco.example (amb memòria cau) amb dig +short mercadofresco.example @8.8.8.8 (resolutor extern).

Solució 3

Cost mensual:

Cost anual: 37,80 USD.

Efecte de pujar el TTL de 300 a 3.600 segons. Només afecta el milió de consultes no-àlies, que són les que es cobren. Multiplicar el TTL per 12 redueix les consultes que arriben a Route 53 aproximadament en la mateixa proporció, encara que no exactament: hi ha molts resolutors diferents, cadascun amb la seva pròpia memòria cau, i alguns clients ignoren els TTL llargs. Amb una reducció conservadora del 70 %:

• Consultes facturables: 1.000.000 → ~300.000
• Cost de consultes: 0,40 → 0,12 USD/mes
• Estalvi: 0,28 USD/mes, 3,36 USD a l'any.

Conclusió honesta de l'exercici: no val la pena. Estalviar 3 dòlars a l'any a canvi que qualsevol canvi de DNS trigui una hora a propagar-se és un mal negoci. El TTL s'ha de triar per criteris operatius —quant trigues a poder revertir un canvi— i no per cost, llevat que es tracti d'escales de centenars de milions de consultes.

On sí que hi ha una decisió econòmica real és a les comprovacions d'estat: 2,10 USD al mes en tres comprovacions és més que les consultes i les zones juntes. I on de debò s'estalvien diners és en el 80 % de consultes resoltes per àlies: si aquells 4 milions fossin CNAME, costarien 1,60 USD al mes addicionals, cinc vegades més que totes les consultes facturables actuals.

MercadoFresco és a internet. mercadofresco.example respon, amb HTTPS vàlid, servit des de l'edge location més propera a cada client, sobre una xarxa dissenyada, filtrada i repartida en dues zones de disponibilitat. Saps com funciona el DNS de debò —zones, delegació per registres NS, resolució recursiva i el paper de la memòria cau—, saps que Route 53 només cobra les consultes que li arriben i que el TTL és una decisió operativa: 300 segons en producció i 60 amb dies d'antelació abans d'una migració. Distingeixes les tres funcions separades del servei: registre de dominis, DNS autoritatiu i comprovacions d'estat.

Has creat la zona pública de mercadofresco.example i la zona privada interno.mercadofresco.example associada a vpc-mercadofresco, que només funciona perquè a 03-01 vam activar enableDnsHostnames. Coneixes els tipus de registre i has afegit un CAA que impedeix que cap autoritat diferent d'Amazon emeti certificats per al domini. I entens la limitació que ho explica tot: el vèrtex d'un domini no pot tenir un CNAME, perquè ja té SOA i NS. D'aquí els registres d'àlies, que són propis de Route 53, funcionen al vèrtex, retornen la IP en una sola consulta, són gratuïts i avaluen la salut de la destinació amb EvaluateTargetHealth. Saps que el HostedZoneId d'un àlies és el del servei de destinació —Z2FDTNDATAQYW2 per a CloudFront— i no el de la teva zona.

Has creat el registre CNAME que valida els certificats d'ACM i has tancat l'HTTPS que quedava pendent de 03-03 i 03-04, sabent que aquell registre no s'ha d'esborrar mai perquè és el que permet la renovació automàtica. Has muntat una comprovació d'estat contra /salud i has recorregut les polítiques d'encaminament amb un cas real de MercadoFresco per a cadascuna: simple per al vèrtex, ponderada per al canari del 10 % que reapareixerà a 08-03, latència per al futur multiregió, geolocalització per a l'obertura a Portugal —amb el registre per defecte que gairebé tothom oblida—, commutació per error cap a la pàgina de manteniment a S3, i multivalor per a destinacions sense balancejador. Has aplicat el DNS complet amb change-resource-record-sets i UPSERT, has verificat amb dig contra els servidors autoritatius, i saps que Route 53 costa a MercadoFresco 1,60 USD al mes: el més barat de tot el mòdul.

Amb això el mòdul 3 queda tancat. L'arquitectura de MercadoFresco és avui: client → Route 53 → CloudFront → ALB → grup d'Auto Scaling en dues zones de disponibilitat → RDS Multi-AZ en subxarxes privades sense sortida a internet, amb el catàleg a S3 tancat per Origin Access Control i tots els registres a mercadofresco-registros-web. El problema 1, les caigudes dels divendres, està resolt amb 2.400 comandes/hora de capacitat davant de 900 de demanda, fins i tot perdent una zona sencera. El problema 3, créixer a més ciutats, ja té la infraestructura preparada, i el problema 4, els desplegaments arriscats, té el mecanisme de canari a punt a l'espera de l'automatització del mòdul 8.

Però tota aquesta arquitectura descansa sobre supòsits que encara no hem examinat. Hi ha un usuari administrador amb permisos amplis i rols creats sobre la marxa sense una política sistemàtica de mínim privilegi. La contrasenya de mfadmin continua estant on no hauria d'estar. La clau KMS alias/mercadofresco-datos existeix però ningú no ha decidit qui la pot fer servir ni cada quant rota. I la regla DENY numerada 50 amb què vam bloquejar una IP abusiva és completament inútil davant d'un atac distribuït des de deu mil adreces. Al mòdul 4, «Seguretat i identitat», començant per la lliçó 04-01 «AWS Identity and Access Management (IAM)», construirem la capa que falta: identitats, polítiques i permisos mínims; després el xifratge gestionat amb KMS, la custòdia de secrets amb Secrets Manager i Parameter Store, i la protecció de la vora amb Shield i WAF, aplicada just davant de la distribució de CloudFront que acabes de muntar.