Amazon Route 53 での DNSSEC 署名の設定 - Amazon Route 53

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon Route 53 での DNSSEC 署名の設定

Domain Name System Security Extensions (DNSSEC) 署名により、DNS リゾルバーは DNS レスポンスが Amazon Route 53 から送信され、改ざんされていないことを検証できます。DNSSEC 署名を使用すると、ホストゾーンに対するすべてのレスポンスがパブリックキー暗号化を使用して署名されます。DNSSEC の概要については、 AWS re:Invent 2021 - Amazon Route 53: A year in review のDNSSEC」セクションを参照してください。

この章では、Route 53 の DNSSEC 署名を有効にする方法、キー署名キー (KSKs) の操作方法、および問題のトラブルシューティング方法について説明します。で DNSSEC 署名を使用する AWS Management Console か、Word を使用してプログラムで操作できますAPI。CLI または SDKs を使用して Route 53 を操作する方法の詳細については、「」を参照してくださいAmazon Route 53 を設定する。

DNSSEC 署名を有効にする前に、次の点に注意してください。

  • ゾーンの停止を防ぎ、ドメインが使用できなくなる問題を回避するには、DNSSEC エラーに迅速に対処して解決する必要があります。DNSSECInternalFailure または DNSSECKeySigningKeysNeedingAction エラーが検出されるたびに警告する CloudWatch アラームを設定することを強くお勧めします。詳細については、「Amazon を使用したホストゾーンのモニタリング CloudWatch」を参照してください。

  • DNSSEC には、キー署名キー (KSK) とゾーン署名キー (ZSK) の 2 種類のキーがあります。Route 53 DNSSEC 署名では、各 KSK は、所有する の AWS KMS 非対称カスタマーマネージドキーに基づいています。必要に応じてローテーションするなど、KSK 管理はお客様の責任となります。ZSK管理は Route 53 によって実行されます。

  • ホストゾーンの DNSSEC 署名を有効にすると、Route 53 は TTL を 1 週間に制限します。ホストゾーンのレコードに TTL を 1 週間以上設定した場合、エラーは発生しません。ただし、Route 53 はレコードに 1 週間のTTLを適用します。TTL が 1 週間未満のレコードと、DNSSEC 署名が有効になっていない他のホストゾーンのレコードは影響を受けません。

  • DNSSEC 署名を使用する場合、マルチベンダー設定はサポートされていません。ホワイトラベルネームサーバー (バニティネームサーバーまたはプライベートネームサーバーとも呼ばれます) を設定している場合は、それらのネームサーバーが単一の DNS プロバイダーによって提供されていることを確認してください。

  • 一部の DNS プロバイダーは、権威のある DNS の委任署名者 (DS) レコードをサポートしていません。親ゾーンが DS クエリをサポートしていない (DS クエリレスポンスで AA フラグを設定していない) DNS プロバイダーによってホストされている場合、子ゾーンで DNSSEC を有効にすると、子ゾーンは解決できなくなります。DNS プロバイダーが DS レコードをサポートしていることを確認します。

  • ゾーン所有者以外の他のユーザーがゾーン内のレコードを追加または削除できるようにする IAM アクセス許可を設定すると便利です。例えば、ゾーン所有者は KSK を追加して署名を有効にし、キーのローテーションを担当する場合もあります。同時に、他のユーザーがホストゾーンで他のレコードの操作を担当することも可能です。IAM ポリシーの例については、「」を参照してくださいドメインレコード所有者のアクセス許可の例。

  • TLD が DNSSEC をサポートしているかどうかを確認するには、「」を参照してくださいAmazon Route 53 に登録できる最上位ドメイン。

トピック