Vérification du contrôle du domaine - Amazon Virtual Private Cloud
Vérifiez votre domaine avec un certificat X.509Vérifiez votre domaine à l’aide d’un enregistrement DNS TXT

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Vérification du contrôle du domaine

Avant de transférer une plage d'adresses IP à AWS, vous devez utiliser l'une des options décrites dans cette section pour vérifier que vous contrôlez l'espace d'adresses IP. Plus tard, lorsque vous amenez la plage d'adresses IP à AWS, cela AWS confirme que vous contrôlez la plage d'adresses IP. Cette validation empêche les clients d’utiliser des plages d’adresses IP appartenant à d’autres, ce qui permet d’éviter les problèmes de routage et de sécurité.

Il existe deux méthodes pour vérifier que vous contrôlez la plage :

  • Certificat X.509 : si votre plage d’adresses IP est enregistrée auprès d’un registre Internet qui prend en charge le protocole RDAP (tel que ARIN, RIPE et APNIC), vous pouvez utiliser un certificat X.509 pour vérifier la propriété de votre domaine.

  • Enregistrement DNS TXT : que votre registre Internet prenne en charge le protocole RDAP ou non, vous pouvez utiliser un jeton de vérification et un enregistrement DNS TXT pour vérifier la propriété de votre domaine.

Vérifiez votre domaine avec un certificat X.509

Cette section explique comment vérifier votre domaine à l’aide d’un certificat X.509 avant de transférer votre plage d’adresses IP à IPAM.

Vérification de votre domaine avec un certificat X.509

  1. Suivez les trois étapes décrites dans la section Conditions préalables au BYOIP sur Amazon dans EC2 le guide de l'utilisateur Amazon EC2 .

    Note

    Lorsque vous créez le ROAs, pour, IPv4 CIDRs vous devez définir la longueur maximale d'un préfixe d'adresse IP sur/24. En IPv6 CIDRs effet, si vous les ajoutez à un pool publicitaire, la longueur maximale d'un préfixe d'adresse IP doit être de. /48 Cela vous garantit une flexibilité totale pour répartir votre adresse IP publique entre AWS les régions. L'IPAM applique la longueur maximale que vous avez définie. La longueur maximale est la plus petite annonce de longueur de préfixe que vous autorisez pour cet acheminement. Par exemple, si vous apportez un bloc d'adresse CIDR /20 dans AWS, en définissant la longueur maximale sur /24, vous pouvez diviser un grand bloc comme vous le souhaitez (par exemple avec /21, /22 ou/24) et distribuer ces blocs d'adresse CIDR plus petits dans n'importe quelle Région. Si vous définissez la longueur maximale sur /23, vous ne serez pas en mesure de diviser et de publier un bloc /24 à partir du bloc plus grand. Notez également qu'il /24 s'agit du plus petit IPv4 bloc et /48 du plus petit IPv6 bloc que vous pouvez annoncer depuis une région sur Internet.

  2. Effectuez les étapes 1 et 2 uniquement sous Proposer une plage d'adresses publiable AWS dans le Guide de EC2 l'utilisateur Amazon, et ne fournissez pas encore la plage d'adresses (étape 3). Enregistrez le text_message et signed_message. Vous en aurez besoin plus tard dans ce processus.

Lorsque vous avez terminé ces étapes, continuez avec Apporter votre propre IP à IPAM en utilisant à la fois la console de gestion AWS et l’AWS CLI ou Apportez votre propre CIDR IP sur IPAM en utilisant uniquement laAWSCLI.

Vérifiez votre domaine à l’aide d’un enregistrement DNS TXT

Suivez les étapes décrites dans cette section pour vérifier votre domaine à l’aide d’un enregistrement DNS TXT avant de transférer votre plage d’adresses IP à IPAM.

Vous pouvez utiliser les enregistrements DNS TXT pour vérifier que vous contrôlez une plage d’adresses IP publiques. Les enregistrements DNS TXT sont un type d’enregistrement DNS qui contient des informations sur votre nom de domaine. Cette fonctionnalité vous permet d’importer les adresses IP enregistrées dans n’importe quel registre Internet (tel que JPNIC, LACNIC et AFRINIC), et pas seulement celles qui prennent en charge les validations basées sur des enregistrements RDAP (Registration Data Access Protocol) (telles que ARIN, RIPE et APNIC).

Important

Avant de pouvoir continuer, vous devez avoir créé un IPAM dans le niveau gratuit ou avancé. Si vous n’avez pas d’IPAM, complétez Création d'un IPAM d’abord.

Étape 1 : créer une ROA si vous n’en avez pas

Vous devez disposer d’une autorisation d’origine d’éitinéraire (ROA) dans votre registre Internet régional (RIR) pour les plages d’adresses IP que vous souhaitez promouvoir. Si vous n’avez pas de ROA dans votre RIR, complétez 3. Créez un objet ROA dans votre RIR dans le guide de l' EC2 utilisateur Amazon. Ignorez les autres étapes.

La plage d' IPv4 adresses la plus précise que vous pouvez apporter est /24. La plage d' IPv6 adresses la plus précise que vous pouvez apporter est /48 pour celles CIDRs qui sont publiables et /60 pour celles CIDRs qui ne le sont pas.

Étape 2. Créez un jeton de vérification

Un jeton de vérification est une valeur aléatoire AWS générée que vous pouvez utiliser pour prouver le contrôle d'une ressource externe. Par exemple, vous pouvez utiliser un jeton de vérification pour vérifier que vous contrôlez une plage d'adresses IP publiques lorsque vous transmettez une plage d'adresses IP à AWS (BYOIP).

Suivez les étapes décrites dans cette section pour créer un jeton de vérification dont vous aurez besoin ultérieurement dans ce tutoriel pour transférer votre plage d’adresses IP vers IPAM. Suivez les instructions ci-dessous pour la AWS console ou le AWS CLI.

AWS Management Console
Création d’un jeton de vérification

  1. Ouvrez la console IPAM à https://console.aws.amazon.com/ipam/l'adresse.

  2. Dans la console AWS de gestion, choisissez la AWS région dans laquelle vous avez créé votre IPAM.

  3. Dans le panneau de navigation de gauche, choisissez IPAMs.

  4. Choisissez votre IPAM, puis cliquez sur l’onglet Jetons de vérification.

  5. Sélectionnez Créer un jeton de vérification.

  6. Après avoir créé le jeton, laissez cet onglet de navigateur ouvert. Vous aurez besoin de la valeur du jeton, du nom du jeton à l’étape suivante et de l’identifiant du jeton à une étape ultérieure.

Remarques :

  • Une fois que vous avez créé un jeton de vérification, vous pouvez le réutiliser pour plusieurs BYOIP CIDRs que vous fournissez depuis votre IPAM dans les 72 heures. Si vous souhaitez en approvisionner davantage CIDRs après 72 heures, vous avez besoin d'un nouveau jeton.

  • Vous pouvez créer jusqu’à 100 jetons. Si vous atteignez cette limite, supprimez les jetons expirés.

Command line

  • Demandez à l'IPAM de créer un jeton de vérification que vous utiliserez pour la configuration DNS avec create-ipam-external-resource-verification-token :

    aws ec2 create-ipam-external-resource-verification-token --ipam-id ipam-id

    Cela renverra un jeton IpamExternalResourceVerificationTokenId et avec TokenName etTokenValue, ainsi que le délai d'expiration (NotAfter) du jeton.

    { 
    "IpamExternalResourceVerificationToken": { 
        "IpamExternalResourceVerificationTokenId": "ipam-ext-res-ver-token-0309ce7f67a768cf0", 
        "IpamId": "ipam-0f9e8725ac3ae5754", 
        "TokenValue": "a34597c3-5317-4238-9ce7-50da5b6e6dc8", 
        "TokenName": "86950620", 
        "NotAfter": "2024-05-19T14:28:15.927000+00:00", 
        "Status": "valid", 
        "Tags": [], 
        "State": "create-in-progress" }
}

Remarques :

  • Une fois que vous avez créé un jeton de vérification, vous pouvez le réutiliser pour plusieurs BYOIP CIDRs que vous fournissez depuis votre IPAM dans les 72 heures. Si vous souhaitez en approvisionner davantage CIDRs après 72 heures, vous avez besoin d'un nouveau jeton.

  • Vous pouvez consulter vos jetons à l'aide de describe-ipam-external-resource-verification-tokens.

  • Vous pouvez créer jusqu’à 100 jetons. Si vous atteignez la limite, vous pouvez supprimer les jetons expirés à l'aide de delete-ipam-external-resource-verification-token.

Étape 3. Configuration de la zone DNS et de l’enregistrement TXT

Effectuez les étapes décrites dans cette section pour configurer la zone DNS et l’enregistrement TXT. Si vous n’utilisez pas Route53 comme DNS, suivez la documentation fournie par votre fournisseur DNS pour configurer une zone DNS et ajouter un enregistrement TXT.

Si vous utilisez Route53, prenez les éléments suivants en considération :

Que vous utilisiez un autre fournisseur DNS ou Route53, tenez compte des points suivants lorsque vous configurez l’enregistrement TXT :

  • Le nom de l’enregistrement doit être le nom de votre jeton.

  • Le type d’enregistrement doit être TXT.

  • ResourceRecord La valeur doit être la valeur du jeton.

Exemple :

  • Nom: 86950620.113.0.203.in-addr.arpa

  • Type : TXT

  • ResourceRecords Value (Valeur) : a34597c3-5317-4238-9ce7-50da5b6e6dc8

Où :

  • 86950620 est le nom du jeton de vérification.

  • 113.0.203.in-addr.arpa est le nom de la zone de recherche inversée.

  • TXT est le type d’enregistrement.

  • a34597c3-5317-4238-9ce7-50da5b6e6dc8 est la valeur du jeton de vérification.

Note

En fonction de la taille du préfixe à apporter à IPAM avec BYOIP, un ou plusieurs enregistrements d’authentification doivent être créés dans le DNS. Ces enregistrements d’authentification sont de type TXT et doivent être placés dans la zone inverse du préfixe lui-même ou de son préfixe parent.

  • En effet IPv4, les enregistrements d'authentification doivent s'aligner sur les plages situées à la limite d'un octet qui constitue le préfixe.

    • Exemples

    • Pour 198.18.123.0/24, qui est déjà aligné à la limite d’un octet, vous devez créer un enregistrement d’authentification unique à l’adresse suivante :

      • token-name.123.18.198.in-addr.arpa. IN TXT “token-value”

    • Pour 198.18.12.0/22, qui lui-même n’est pas aligné sur la limite des octets, vous devez créer quatre enregistrements d’authentification. Ces enregistrements doivent couvrir les sous-réseaux 198.18.12.0/24, 198.18.13.0/24, 198.18.14.0/24 et 198.18.15.0/24 qui sont alignés à la limite d’un octet. Les entrées DNS correspondantes doivent être :

      • token-name.12.18.198.in-addr.arpa. IN TXT “token-value”

      • token-name.13.18.198.in-addr.arpa. IN TXT “token-value”

      • token-name.14.18.198.in-addr.arpa. IN TXT “token-value”

      • token-name.15.18.198.in-addr.arpa. IN TXT “token-value”

    • Pour 198.18.0.0/16, qui est déjà aligné à la limite d’un octet, vous devez créer un enregistrement d’authentification unique :

      • token-name.18.198.in-addr.arpa. IN TXT “token-value”

  • En effet IPv6, les enregistrements d'authentification doivent s'aligner sur les plages situées à la limite du nibble qui constituent le préfixe. Les valeurs de nibble valides sont par exemple 32, 36, 40, 44, 48, 52, 56 et 60.

    • Exemples

      • Pour 2001:0db8::/40, qui est déjà aligné à la limite de nibble, vous devez créer un enregistrement d’authentification unique :

        • token-name.0.0.8.b.d.0.1.0.0.2.ip6.arpa TXT “token-value”

      • Pour 2001:0db8:80::/42, qui n’est pas alignée à la limite de nibble, vous devez créer quatre enregistrements d’authentification. Ces enregistrements doivent couvrir les sous-réseaux 2001:db8:80::/44, 2001:db8:90::/44, 2001:db8:a0::/44, et 2001:db8:b0::/44 qui sont alignés sur une limite de nibble. Les entrées DNS correspondantes doivent être :

        • token-name.8.0.0.8.b.d.0.1.0.0.2.ip6.arpa TXT “token-value”

        • token-name.9.0.0.8.b.d.0.1.0.0.2.ip6.arpa TXT “token-value”

        • token-name.a.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT “token-value”

        • token-name.b.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT “token-value”

      • Pour la plage non annoncée 2001:db8:0:1000::/54, qui n’est elle-même pas alignée à une limite de nibble, vous devez créer quatre enregistrements d’authentification. Ces enregistrements doivent couvrir les sous-réseaux 2001:db8:0:1000::/56, 2001:db8:0:1100::/56, 2001:db8:0:1200::/56 et 2001:db8:0:1300::/56 qui sont alignés à une limite de nibble. Les entrées DNS correspondantes doivent être :

        • token-name.0.1.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT “token-value”

        • token-name.1.1.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT “token-value”

        • token-name.2.1.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT “token-value”

        • token-name.3.1.0.0.0.0.8.b.d.0.1.0.0.2.ip6.arpa IN TXT “token-value”

    • Pour valider le nombre correct de nombres hexadécimaux entre le nom du jeton et la chaîne « ip6.arpa », multipliez le nombre par quatre. Le résultat doit correspondre à la longueur du préfixe. Par exemple, pour un préfixe /56, vous devez avoir 14 chiffres hexadécimaux.

Lorsque vous avez terminé ces étapes, continuez avec Apporter votre propre IP à IPAM en utilisant à la fois la console de gestion AWS et l’AWS CLI ou Apportez votre propre CIDR IP sur IPAM en utilisant uniquement laAWSCLI.