背景：账户注销引发的域名中断

在 AWS 多账户组织（AWS Organizations）中，工作负载常分散在数十至数百个成员账户。若某个项目账户注册了 Amazon Route 53 域名，当项目结束注销该账户时，若未提前迁移域名，会导致严重后果：注销后第 5 天域名进入 clientHold 暂停状态，网站不可达、邮件中断、SSL/TLS 证书校验失败。这种故障往往源于预注销审查遗漏了域名资产。

账户关闭后的域名生命周期

AWS 对关闭账户中的 Route 53 域名执行阶段性处理，关键时间节点如下：

  • 第 0 天：账户关闭，状态变为 PENDING_CLOSURE。
  • 第 1–5 天：向根邮箱发送每日警告邮件。
  • 第 5 天：域名挂起（clientHold），互联网不可解析。
  • 第 35 天：若为 Amazon Registrar 管理的域名则删除；Gandi 注册的则释放。
  • 第 90 天：账户永久关闭，无法重开；90 天内支持可恢复账户或域名。

需注意特殊陷阱：若账户根邮箱使用了该账户内注册的域名，第 5 天域名挂起会阻断警告邮件本身，形成“静默失效”。

治理实践：架构与管控分离

1. 域名注册集中于专用网络账户

依据 AWS Well-Architected 框架，应将域名注册从工作负载账户中剥离，统一放入基础设施组织单元（OU）下的“网络账户”。该账户由基础设施团队持有，具备持久性、严格访问控制和防误关策略，不随项目周期注销。

2. 区分注册与托管区域

Route 53 中“域名注册”与“托管区域（Hosted Zone）”是独立资源，可位于不同账户。注册代表所有权，托管区域存放 DNS 记录。此特性催生了子域委派模式。

3. 子域委派模式

网络账户持有顶级域（如 example.com）及其托管区域，在区中配置 NS 委派记录，将子域（如 app1.example.com）指向应用账户内的托管区域。如此，关闭应用账户仅影响子域解析，根域的 MX、顶级解析及父区域仍正常运行。

4. 根邮箱规划

应用账户的根邮箱应使用企业外部域名或网络账户托管的域名，避免依赖自身账户内的域名，确保注销通知可达。

5. 利用 Route 53 Profiles 规模化治理

对于跨多账户的 DNS 管理，可通过 Route 53 Profiles 集中封装私有托管区关联、Resolver 转发规则与 DNS 防火墙规则组，并借助 RAM 共享，降低应用账户自建导致的分散风险。

对读者的意义与技术解读

对于运维、SRE 与站长群体，本文揭示了一个常被忽视的可用性盲区：互联网标识（域名）与云上账户生命周期的耦合风险。在混合云或多云环境中，域名往往是最长生命周期、最高信任成本的资产，却可能被当作普通资源随账户废弃。

我们建议读者：第一，建立“域名资产地图”，审计所有对外域名的注册商与账户归属；第二，采用集中注册+子域委派，解耦基础设施与业务负载；第三，将域名状态监控纳入运维告警，例如利用本平台的 DNS 查询与 HTTP 测速能力，对 clientHold 或解析失败做外部黑盒探测，弥补云内通知失效的短板。如此可将 SLA 保障从“事后恢复”前移至“架构预防”。