Fehlerbehebung für DNSSEC

Stellen Sie sicher, dass Sie die Voraussetzungen in Konfigurieren der DNSSEC-Signatur in Amazon Route 53 gelesen haben, bevor Sie mit der Aktivierung der DNSSEC-Signierung beginnen.

Um DNSSEC sicher zu deaktivieren, überprüft Route 53, ob sich die Zielzone in der Vertrauenskette befindet. Es überprüft, ob das übergeordnete Element der Zielzone über NS-Datensätze der Zielzone und DS-Datensätze der Zielzone verfügt. Wenn die Zielzone nicht öffentlich auflösbar ist, z. B. wenn beim Abfragen nach NS und DS eine SERVFAIL-Antwort erhalten wird, kann Route 53 nicht feststellen, ob DNSSEC sicher deaktiviert werden kann. Sie können sich an Ihre übergeordnete Zone wenden, um diese Probleme zu beheben, und später erneut versuchen, DNSSEC zu deaktivieren.

Ein KSK kann seinen Status in Aktion erforderlich (oder ACTION_NEEDED in einem KeySigningKey Status) ändern, wenn Route 53 DNSSEC den Zugriff auf ein entsprechendes Objekt verliert AWS KMS key (aufgrund einer Änderung der Berechtigungen oder einer Löschung). AWS KMS key

Wenn der Status eines KSK Action needed (Aktion erforderlich) ist, bedeutet dies, dass es schließlich zu einem Zonenausfall für Clients kommt, die DNSSEC-validierende Resolver verwenden, und Sie müssen schnell handeln, um zu verhindern, dass eine Produktionszone nicht mehr aufgelöst werden kann.

Um das Problem zu beheben, stellen Sie sicher, dass der vom Kunden verwaltete Schlüssel, auf dem Ihre KSK basiert, aktiviert ist und über die richtigen Berechtigungen verfügt. Weitere Informationen zu den erforderlichen Berechtigungen finden Sie unter Route 53 vom Kunden verwaltete Schlüsselberechtigungen für DNSSEC-Signierung erforderlich.

Nachdem Sie den KSK repariert haben, aktivieren Sie ihn erneut, indem Sie die Konsole oder die verwenden AWS CLI, wie unter beschrieben. Schritt 2: Aktivieren der DNSSEC-Signatur und Erstellen einer KSK

Um dieses Problem in Zukunft zu vermeiden, sollten Sie erwägen, eine Amazon CloudWatch Metrik hinzuzufügen, um den Status des KSK nachzuverfolgen, wie unter vorgeschlagen. Konfigurieren der DNSSEC-Signatur in Amazon Route 53

Wenn ein KSK den Status Interner Ausfall hat (oder sich INTERNAL_FAILURE in einem KeySigningKey Status befindet), können Sie mit keiner anderen DNSSEC-Entität zusammenarbeiten, bis das Problem behoben ist. Sie müssen Maßnahmen ergreifen, bevor Sie mit der DNSSEC-Signatur arbeiten können, einschließlich der Arbeit mit dieser KSK oder Ihrer anderen KSK.

Um das Problem zu beheben, versuchen Sie erneut, KSK zu aktivieren oder zu deaktivieren.

Um das Problem bei der Arbeit mit den APIs zu beheben, versuchen Sie, sign () zu aktivieren oder EnableHostedZoneDNSSEC sign () zu deaktivieren. DisableHostedZoneDNSSEC

Es ist wichtig, dass SieInternal failure (Interner Fehler)umgehend Probleme. Sie können keine weiteren Änderungen an der gehosteten Zone vornehmen, bis Sie das Problem behoben haben, mit Ausnahme der Vorgänge zum Beheben des Internal failure (Interner Fehler).