Mobiele bankapps draaien op Amazon EC2-instances in een VPC en moeten DNS-namen oplossen in een on-premises Active Directory-domein. Het on-premises datacenter maakt verbinding met AWS via AWS Direct Connect. Welke optie biedt DNS-resolutie naar het on-premises AD-domein voor instances in de VPC met de minste administratieve overhead?

De juiste optie is het aanmaken van Amazon Route 53 Resolver endpoints en het toevoegen van conditional forwarding rules. Dit maakt naadloze DNS-resolutie mogelijk tussen de VPC en het on-premises Active Directory-domein via de bestaande Direct Connect-verbinding. De EC2-instances in de VPC kunnen hun standaard DNS-server (de Route 53 Resolver) blijven gebruiken, die vervolgens de queries voor het on-premises domein doorstuurt naar de on-premises DNS-servers via de Resolver Outbound Endpoint. Dit minimaliseert de administratieve overhead omdat er geen extra DNS-servers hoeven te worden beheerd op EC2 en er geen complexe configuraties nodig zijn op de instances zelf. Het provisioneren van EC2-instances als caching DNS-servers voegt beheerslast toe. Een Route 53 private hosted zone met NS records verwijst wel naar on-premises servers, maar vereist dat de VPC-instances hun DNS-configuratie aanpassen, wat niet schaalbaar is. Een nieuwe Active Directory-domeincontroller in de VPC met een bidirectionele trust is een zware oplossing die veel administratieve overhead met zich meebrengt, vooral voor alleen DNS-resolutie.