Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Administración de claves KMS y ZSK en Route 53
En esta sección se describe la práctica actual que Route 53 utiliza para las zonas habilitadas para la firma de DNSSEC.
nota
Route 53 utiliza la siguiente regla que podría cambiar. Cualquier cambio futuro no reducirá la posición de seguridad de su zona ni de Route 53.
- Cómo usa Route 53 la asociada a su AWS KMS KSK
En DNSSEC, la KSK se utiliza para generar la firma de registro de recursos (RRSIG) del conjunto de registros de recursos DNSKEY. Todos los
ACTIVEKSK se utilizan en la generación de RRSIG. Route 53 genera un RRSIG llamando a laSignAWS KMS API en la clave de KMS asociada. Para obtener más información, consulte Sign (Firmar) en la Guía de la API de AWS KMS . Estos RRSIG no se cuentan para el límite establecido de registros de recursos de la zona.RRSIG tiene fecha de vencimiento. Para evitar el vencimiento de los RRSIG, estos se actualizan regularmente regenerándolos cada uno o siete días.
Los RRSIG también se actualizan cada vez que llama a cualquiera de estas API:
Cada vez que Route 53 realiza una actualización, generamos 15 RRSIG para cubrir los siguientes días en caso de que la clave KMS asociada se vuelva inaccesible. Para la estimación del costo de la clave KMS, puede basarse en una actualización periódica una vez al día. Es posible que no se pueda acceder a una clave KMS debido a cambios involuntarios en la política de claves de KMS. La clave KMS inaccesible establecerá el estado de la KSK asociada en
ACTION_NEEDED. Le recomendamos encarecidamente que supervise esta condición configurando una CloudWatch alarma cada vez que se detecte unDNSSECKeySigningKeysNeedingActionerror, ya que la validación de los solucionadores comenzará a generar errores en las búsquedas una vez que caduque el último RRSIG. Para obtener más información, consulte Supervisión de las zonas alojadas mediante Amazon CloudWatch.- Cómo administra Route 53 la ZSK de su zona
Cada nueva zona alojada con firma DNSSEC habilitada tendrá una clave de firma de zona (ZSK)
ACTIVE. La ZSK se genera por separado para cada zona alojada y es propiedad de Route 53. El algoritmo clave actual es ECDSAP256SHA256.Comenzaremos a realizar una rotación ZSK regular en la zona en un plazo de 7 a 30 días desde el inicio de la firma. Actualmente, Route 53 usa el método Key Rollover. Pre-Publish Para obtener más información, consulte Pre-Publish Zone Signing Key Rollover.
Este método introducirá otra ZSK en la zona. La rotación se repetirá cada 7 a 30 días. Route 53 suspenderá la rotación de ZSK si alguna de las KSK de la zona se encuentra en estado
ACTION_NEEDEDporque Route 53 no podrá regenerar los RRSIG para los conjuntos de registros de recursos DNSKEY para tener en cuenta los cambios en la ZSK de la zona. La rotación de ZSK se reanudará automáticamente después de que se haya borrado la condición.
