在 Amazon SES 中提供您自己的 DKIM 身分驗證字符 (BYODKIM)

從 Linux、macOS 或 Unix 命令列建立金鑰對

1. 在命令列輸入下列命令來產生私有金鑰，其中將 nnnn 取代為至少為 1024 位元的長度，最多為 2048 位元：

   openssl genrsa -f4 -out private.key nnnn

2. 在命令列輸入下列命令來產生公有金鑰：

   openssl rsa -in private.key -outform PEM -pubout -out public.key

將公有金鑰新增至網域的 DNS 組態

1. 登入您的 DNS 或託管提供者的管理主控台。

2. 將新文字記錄新增至網域的 DNS 組態。記錄應該使用下列格式：

   名稱	類型	值
   selector._domainkey.example.com	TXT	p=yourPublicKey

   在上述範例中，進行下列變更：

   • 以可識別金鑰的唯一名稱取代 selector。

     注意

     少數 DNS 供應商不允許您在記錄名稱中包含底線 (_)。不過，DKIM 記錄名稱必須使用底線。如果您的 DNS 供應商不允許您在記錄名稱中輸入底線，請聯絡供應商的客戶支援團隊以尋求協助。

   • 以您的網域取代 example.com。

   • 使用您稍早建立的公開金鑰取代 yourPublicKey，並包含 p= 字首，如上方 Value (值) 欄位所示。

     注意

     將公有金鑰發佈 (新增) 到 DNS 供應商時，格式必須如下：

     • 您必須刪除所產生公開金鑰的第一行和最後一行 (分別為 -----BEGIN PUBLIC KEY----- 和 -----END PUBLIC KEY-----)。此外，您必須移除所產生公開金鑰中的換行符號。產生的值是字元的字串，不帶空格或換行符號。

     • 您必須包含 p= 字首，如上表中 Value (值) 欄位所示。

   不同供應商有不同的 DNS 記錄更新程序。下表包括幾個最常採用的 DNS 供應商的文件連結。這不是完整詳盡的清單，且不提供任何背書；同樣，若您的 DNS 供應商未列入清單，也不表示您無法搭配 Amazon SES 使用該網域。

   DNS/託管供應商	文件連結
   Amazon Route 53	Amazon Route 53 開發人員指南中的編輯記錄
   GoDaddy	新增 TXT 記錄 (外部連結)
   DreamHost	如何新增自訂 DNS 記錄？(外部連結)
   Cloudflare	管理 Cloudflare 中的 DNS 記錄 (外部連結)
   HostGator	使用 HostGator/eNom 管理 DNS 記錄 (外部連結)
   Namecheap	如何為我的網域新增 TXT/SPF/DKIM/DMARC 記錄 (外部連結)
   Names.co.uk	變更您的網域 DNS 設定 (外部連結)
   Wix	在您的 Wix 帳戶中新增或更新 TXT 記錄 (外部連結)

若要從主控台使用 BYODKIM 建立身分

• 請遵循 建立網域身分 的程序，當您進入步驟 8 時，請按照 BYODKIM 的具體說明進行操作。

若要從 AWS CLI 使用 BYODKIM 來建立身分

若要設定新網域，請使用 Amazon SES API 中的 CreateEmailIdentity 作業。

1. 在文字編輯器中，貼上以下程式碼：

   {
       "EmailIdentity":"example.com",
       "DkimSigningAttributes":{
           "DomainSigningPrivateKey":"privateKey",
           "DomainSigningSelector":"selector"
       }
   }

   在上述範例中，進行下列變更：

   • 以您要建立的網域取代 example.com。

   • 以您的私密金鑰取代 privateKey。

     注意

     您必須刪除所產生私有金鑰的第一行和最後一行 (分別為 -----BEGIN PRIVATE KEY----- 和 -----END PRIVATE KEY-----)。此外，您必須移除所產生私有金鑰中的換行符號。產生的值是字元的字串，不帶空格或換行符號。

   • 以您在網域的 DNS 組態中建立 TXT 記錄時所指定的唯一選取器取代 selector。

   完成後，請將檔案儲存為 create-identity.json。

2. 在命令列中輸入以下命令：

   aws sesv2 create-email-identity --cli-input-json file://path/to/create-identity.json

   在上述命令中，將 path/to/create-identity.json 取代為您在上一個步驟中建立的檔案的完整路徑。

若要從主控台使用 BYODKIM 更新網域身分

1. 前往 https://console.aws.amazon.com/ses/ 登入 AWS Management Console 並開啟 Amazon SES 主控台。

2. 在導覽窗格中的 Configuration (組態) 下，選擇 Verified identities (已驗證身分)。

3. 在身分清單中，選擇 Identity type (身分類型) 是 Domain (網域) 的身分。

   注意

   如果您需要建立或驗證網域，請參閱 建立網域身分。

4. 在 Authentication (身分驗證) 索引標籤下方的 DomainKeys Identified Mail (DKIM) (網域金鑰識別郵件 (DKIM)) 窗格中，選擇 Edit (編輯)。

5. 在 Advanced DKIM settings (進階 DKIM 設定) 窗格中，選擇 Identity type (身分類型) 欄位中的 Provide DKIM authentication token (BYODKIM) (提供 DKIM 身分驗證字符 (BYODKIM)) 按鈕。

6. 針對私有金鑰，請貼上您稍早產生的私有金鑰。

   注意

   您必須刪除所產生私有金鑰的第一行和最後一行 (分別為 -----BEGIN PRIVATE KEY----- 和 -----END PRIVATE KEY-----)。此外，您必須移除所產生私有金鑰中的換行符號。產生的值是字元的字串，不帶空格或換行符號。

7. 對於 Selector name (選取器名稱)，輸入您在網域 DNS 設定中指定的選擇器名稱。

8. 在 DKIM signatures (DKIM 簽章) 欄位中，選中 Enabled (已啟用) 方塊。

9. 選擇 Save changes (儲存變更)。

若要從 AWS CLI 使用 BYODKIM 更新網域身分

若要設定現有的網域，請在 Amazon SES API 中使用 PutEmailIdentityDkimSigningAttributes 作業。

1. 在文字編輯器中，貼上以下程式碼：

   {
       "SigningAttributes":{
           "DomainSigningPrivateKey":"privateKey",
           "DomainSigningSelector":"selector"
       },
       "SigningAttributesOrigin":"EXTERNAL"
   }

   在上述範例中，進行下列變更：

   • 以您的私密金鑰取代 privateKey。

     注意

     您必須刪除所產生私有金鑰的第一行和最後一行 (分別為 -----BEGIN PRIVATE KEY----- 和 -----END PRIVATE KEY-----)。此外，您必須移除所產生私有金鑰中的換行符號。產生的值是字元的字串，不帶空格或換行符號。

   • 以您在網域的 DNS 組態中建立 TXT 記錄時所指定的唯一選取器取代 selector。

   完成後，請將檔案儲存為 update-identity.json。

2. 在命令列中輸入以下命令：

   aws sesv2 put-email-identity-dkim-signing-attributes --email-identity example.com --cli-input-json file://path/to/update-identity.json

   在上述命令中，進行下列變更：

   • 以您在上一個步驟中建立的檔案的完整路徑取代 path/to/create-identity.json。

   • 以您要更新的網域取代 example.com。

從主控台驗證網域的 DKIM 狀態

將網域設定為使用 BYODKIM 之後，您可以使用 SES 主控台來驗證已正確設定 DKIM。

1. 前往 https://console.aws.amazon.com/ses/ 登入 AWS Management Console 並開啟 Amazon SES 主控台。

2. 在導覽窗格中的 Configuration (組態) 下，選擇 Verified identities (已驗證身分)。

3. 在身分清單中，選擇您要驗證 DKIM 狀態的身分。

4. 對 DNS 設定的變更最多可能需要 72 小時才會傳播。當 Amazon SES 在您網域的 DNS 設定中偵測到所有必需的 DKIM 記錄時，驗證程序即完成。若所有內容都已正確設定，在 DomainKeys Identified Mail (DKIM) (網域金鑰識別郵件 (DKIM)) 窗格中，您網域的 DKIM configuration (DKIM 設定) 欄位將顯示為 Successful (成功)，並且 Summary (摘要) 窗格中的 Identity status (身分狀態) 欄位將顯示為 Verified (已驗證)。

使用 AWS CLI 驗證網域的 DKIM 狀態

將網域設定為使用 BYODKIM 之後，您可以使用 GetEmailIdentity 操作來驗證已正確設定 DKIM。

• 在命令列中輸入以下命令：

  aws sesv2 get-email-identity --email-identity example.com

  在上述命令中，將 example.com 取代為您的網域。

  此命令會傳回 JSON 物件，其中包含類似下列範例的區段。

  {
      ...
      "DkimAttributes": { 
          "SigningAttributesOrigin": "EXTERNAL",
          "SigningEnabled": true,
          "Status": "SUCCESS",
          "Tokens": [ ]
      },
      ...
  }

  如果下列各項成立，則已正確為網域設定 BYODKIM：

  • SigningAttributesOrigin 屬性的值為 EXTERNAL。

  • SigningEnabled 的值為 true。

  • Status 的值為 SUCCESS。