SES の通知メールが迷惑メール判定されたので送信専用サブドメイン + DKIM で解消した話

# SES は From 側 Identity だけでなく、宛先がアカウント内の検証済み Identity の
# 場合はその宛先 Identity に対しても認可チェックを行う
statement {
  effect = "Allow"
  actions = [
    "ses:SendEmail",
    "ses:SendRawEmail",
  ]
  resources = concat(
    [aws_ses_domain_identity.mail_from.arn],
    [for identity in aws_ses_email_identity.recipient : identity.arn]
  )
}

example.co.jp（別アカウント・全社DNSリポジトリ）
  └─ NS委譲 → myapp.example.co.jp（アプリ prd アカウント）
                └─ NS委譲 → stg.myapp.example.co.jp（アプリ stg アカウント）

# アプリ側 prd: stg サブドメインをこのゾーン内で委譲する
# NOTE: 親ゾーン側での NS 委譲は prd ドメインのみとし、stg への委譲はこのゾーン内で
# 完結させることで、stg 環境の作り直しが親ゾーン側に影響しないようにする
resource "aws_route53_record" "mail_stg_delegation" {
  zone_id = aws_route53_zone.mail.zone_id
  name    = "stg.${local.mail_domain}"
  type    = "NS"
  ttl     = 300
  records = data.terraform_remote_state.stg.outputs.mail_zone_name_servers
}

resource "aws_ses_domain_identity" "mail_from" {
  domain = local.mail_domain # 例: myapp.example.co.jp
}

# Easy DKIM 署名用
resource "aws_ses_domain_dkim" "mail_from" {
  domain = aws_ses_domain_identity.mail_from.domain
}

# SPF をアライメントさせるための Custom MAIL FROM domain
resource "aws_ses_domain_mail_from" "mail_from" {
  domain           = aws_ses_domain_identity.mail_from.domain
  mail_from_domain = "bounce.${local.mail_domain}"
}

# NOTE: Easy DKIM 署名検証用 CNAME レコード(3件)。dkim_tokens は新規作成時は apply 後に
# しか値が判明せず for_each + toset のキーにできないため、常に3件である前提で count を使う
resource "aws_route53_record" "mail_dkim" {
  count = 3

  zone_id = aws_route53_zone.mail.zone_id
  name    = "${aws_ses_domain_dkim.mail_from.dkim_tokens[count.index]}._domainkey.${local.mail_domain}"
  type    = "CNAME"
  ttl     = 600
  records = ["${aws_ses_domain_dkim.mail_from.dkim_tokens[count.index]}.dkim.amazonses.com"]
}

resource "aws_route53_record" "mail_from_mx" {
  zone_id = aws_route53_zone.mail.zone_id
  name    = aws_ses_domain_mail_from.mail_from.mail_from_domain
  type    = "MX"
  ttl     = 600
  records = ["10 feedback-smtp.${data.aws_region.current.region}.amazonses.com"]
}

resource "aws_route53_record" "mail_from_spf" {
  zone_id = aws_route53_zone.mail.zone_id
  name    = aws_ses_domain_mail_from.mail_from.mail_from_domain
  type    = "TXT"
  ttl     = 600
  records = ["v=spf1 include:amazonses.com ~all"]
}

# NOTE: p=none で開始する。DKIM/SPF の成立を確認してから別PRで p=quarantine に上げる
resource "aws_route53_record" "mail_dmarc" {
  zone_id = aws_route53_zone.mail.zone_id
  name    = "_dmarc.${local.mail_domain}"
  type    = "TXT"
  ttl     = 600
  records = ["v=DMARC1; p=none;"]
}

output "mail_zone_name_servers" {
  description = "送信専用サブドメインの NS レコード。親ゾーンへの委譲に使用する"
  value       = aws_route53_zone.mail.name_servers
}

# NOTE: ドメイン所有権検証の完了を待つ。NS 委譲済みの TXT レコードが
# DNS に反映されている必要があるため明示的に depends_on する
resource "aws_ses_domain_identity_verification" "mail_from" {
  domain = aws_ses_domain_identity.mail_from.domain

  depends_on = [aws_route53_record.mail_verification]

  timeouts {
    create = "10m"
  }
}