提供 Amazon SES 中您自己的 DKIM 身份验证令牌 (BYODKIM)

使用 Linux、macOS 或 Unix 命令行来创建密钥对

1. 在命令行中，输入以下命令生成私钥，nnnn替换为至少为 1024 且最多 2048 的位长度：

   openssl genrsa -f4 -out private.key nnnn

2. 在命令行中，输入以下命令可生成公有密钥：

   openssl rsa -in private.key -outform PEM -pubout -out public.key

将公有密钥添加到您的域的 DNS 配置中

1. 登录您的 DNS 提供商或托管提供商的管理控制台。

2. 将新的文本记录添加到您的域的 DNS 配置中。记录应该使用以下格式：

   名称	类型	值
   selector。 _domainkey。 example.com	TXT	p= yourPublicKey

   在前面的示例中，进行以下更改：

   • selector替换为标识密钥的唯一名称。

     注意

     少数 DNS 提供商不允许记录名称中包含下划线 (_)。但是，DKIM 记录名称中的下划线是必需的。如果您的 DNS 提供商不允许您在记录名称中输入下划线，请联系提供商的客户支持团队以获取帮助。

   • example.com用您的域名替换。

   • yourPublicKey替换为您之前创建的公钥，并添加p=前缀，如上面的 “值” 列所示。

     注意

     当您将公有密钥发布（添加）到 DNS 提供商时，必须按如下所示进行格式化：

     • 您必须删除生成的公有密钥的第一行和最后一行（分别为 -----BEGIN PUBLIC KEY----- 和 -----END PUBLIC KEY-----）。此外，您还必须删除生成的公有密钥中的换行符。产生的值是一个字符串，不包含空格或换行符。

     • 您必须包含 p= 前缀，如上表中的 Value（值）列所示。

   不同的提供商具有不同的 DNS 记录更新过程。下表包含的链接指向几个广泛使用的 DNS 提供商的文档。此列表并不详尽无遗，也不表示认可；同样，如果您的 DNS 提供商未列出，这并不意味着您不能将该域与 Amazon SES 一起使用。

   DNS/托管提供商	文档链接
   Amazon Route 53	《Amazon Route 53 开发人员指南》中的编辑记录
   GoDaddy	添加 TXT 记录（外部链接）
   DreamHost	如何添加自定义 DNS 记录？（外部链接）
   Cloudflare	在 CloudFlare 中管理 DNS 记录（外部链接）
   HostGator	使用 HostGator /eNOM 管理 DNS 记录（外部链接）
   Namecheap	如何为我的域名添加TXT/SPF/DKIM/DMARC记录？ （外部链接）
   Names.co.uk	更改您的域的 DNS 设置（外部链接）
   Wix	在您的 Wix 账户中添加或更新 TXT 记录（外部链接）

从控制台使用 BYODKIM 创建身份

• 按照创建域身份中的过程操作，当您到达步骤 8 时，请按照 BYODKIM 特定的说明进行操作。

要使用 BYODKIM 创建身份，请访问 AWS CLI

要配置新域，请使用 Amazon SES API 中的 CreateEmailIdentity 操作。

1. 在文本编辑器中，粘贴以下代码：

   {
       "EmailIdentity":"example.com",
       "DkimSigningAttributes":{
           "DomainSigningPrivateKey":"privateKey",
           "DomainSigningSelector":"selector"
       }
   }

   在前面的示例中，进行以下更改：

   • example.com替换为您要创建的域。

   • privateKey用您的私钥替换。

     注意

     您必须删除生成的私有密钥的第一行和最后一行（分别为 -----BEGIN PRIVATE KEY----- 和 -----END PRIVATE KEY-----）。此外，还必须删除生成的私有密钥中的换行符。产生的值是一个字符串，不包含空格或换行符。

   • selector替换为您在域名的 DNS 配置中创建 TXT 记录时指定的唯一选择器。

   完成后，将文件另存为 create-identity.json。

2. 在命令行输入以下命令：

   aws sesv2 create-email-identity --cli-input-json file://path/to/create-identity.json

   在前面的命令中，path/to/create-identity.json替换为您在上一步中创建的文件的完整路径。

从控制台使用 BYODKIM 更新域身份

1. 登录 AWS Management Console 并打开 Amazon SES 控制台，网址为https://console.aws.amazon.com/ses/。

2. 在导航窗格中的 Configuration（配置）下，选择 Verified identities（已验证身份）。

3. 在身份列表中，选择身份类型为域的身份。

   注意

   如果需要创建或验证域，请参阅 创建域身份。

4. 在 “身份验证” 选项卡下的 “DomainKeys 已识别邮件 (DKIM)” 窗格中，选择 “编辑”。

5. 在 Advanced DKIM settings（高级 DKIM 设置）窗格中，选择 Identity type（身份类型）字段中的 Provide DKIM authentication token (BYODKIM) [提供 DKIM 身份验证令牌 (BYODKIM)] 按钮。

6. 对于 Private key（私有密钥），粘贴先前生成的私有密钥。

   注意

   您必须删除生成的私有密钥的第一行和最后一行（分别为 -----BEGIN PRIVATE KEY----- 和 -----END PRIVATE KEY-----）。此外，还必须删除生成的私有密钥中的换行符。产生的值是一个字符串，不包含空格或换行符。

7. 对于选择器名称，输入您在域的 DNS 设置中指定的选择器的名称。

8. 在 DKIM 签名字段中，选中已启用复选框。

9. 选择 Save changes（保存更改）。

要使用 BYODKIM 更新域身份，请访问 AWS CLI

要配置现有域，请使用 Amazon SES API 中的 PutEmailIdentityDkimSigningAttributes 操作。

1. 在文本编辑器中，粘贴以下代码：

   {
       "SigningAttributes":{
           "DomainSigningPrivateKey":"privateKey",
           "DomainSigningSelector":"selector"
       },
       "SigningAttributesOrigin":"EXTERNAL"
   }

   在前面的示例中，进行以下更改：

   • privateKey用您的私钥替换。

     注意

     您必须删除生成的私有密钥的第一行和最后一行（分别为 -----BEGIN PRIVATE KEY----- 和 -----END PRIVATE KEY-----）。此外，还必须删除生成的私有密钥中的换行符。产生的值是一个字符串，不包含空格或换行符。

   • selector替换为您在域名的 DNS 配置中创建 TXT 记录时指定的唯一选择器。

   完成后，将文件另存为 update-identity.json。

2. 在命令行输入以下命令：

   aws sesv2 put-email-identity-dkim-signing-attributes --email-identity example.com --cli-input-json file://path/to/update-identity.json

   在前面的命令中，进行以下更改：

   • path/to/update-identity.json替换为您在上一步中创建的文件的完整路径。

   • example.com替换为您要更新的域名。

从控制台验证域的 DKIM 状态

配置域以使用 BYODKIM 后，您可以使用 SES 控制台验证已正确地配置 DKIM。

1. 登录 AWS Management Console 并打开 Amazon SES 控制台，网址为https://console.aws.amazon.com/ses/。

2. 在导航窗格中的配置下，选择已验证身份。

3. 在身份列表中，选择要验证其 DKIM 状态的身份。

4. 对 DNS 设置的更改最长可能需要 72 小时才能生效。一旦 Amazon SES 在域的 DNS 设置中检测到全部必需的 DKIM 记录，则验证过程完成。如果所有配置都正确，则您的域名的 DKIM 配置字段将在已DomainKeys识别邮件 (DKIM) 窗格中显示成功，而身份状态字段在 “摘要” 窗格中显示已验证。

要验证域名的 DKIM 状态，请使用 AWS CLI

将域配置为使用 BYODKIM 后，您可以使用该 GetEmailIdentity操作来验证 DKIM 的配置是否正确。

• 在命令行输入以下命令：

  aws sesv2 get-email-identity --email-identity example.com

  在前面的命令中，example.com用您的域名替换。

  此命令返回一个 JSON 对象，该对象包含类似于以下示例的部分。

  {
      ...
      "DkimAttributes": { 
          "SigningAttributesOrigin": "EXTERNAL",
          "SigningEnabled": true,
          "Status": "SUCCESS",
          "Tokens": [ ]
      },
      ...
  }

  如果以下所有条件均成立，则表示已为域正确配置 BYODKIM：

  • SigningAttributesOrigin 属性的值为 EXTERNAL。

  • SigningEnabled 的值为 true。

  • Status 的值为 SUCCESS。