A CNAME あるDNS名を別の DNS 名のエイリアスにします。これはプロバイダー管理の電子メール設定によく使用されますが、NS 委任のようにサブドメイン全体を転送するわけではありません。エイリアスを作成する前に、その正確な名前が既に占有されているものとターゲットを制御しているものを特定します。
エイリアスの所有者を排他的に保つ
参考文献: RFC 2181 §10.1, RFC 1034 §4.2.1.
CNAME所有者では、通常のTXT 、 MX 、 A およびその他のデータはエイリアスと共存できません。 DNSSEC メタデータは特殊なケースです。 TXT-plus-CNAME 構成は有効になりません。エイリアスには正規のターゲットが 1 つあります。 Zone Apex にはすでに SOA および NS レコードが必要であるため、従来の Apex CNAMEゾーン構造と競合します。
フラット化または ALIAS と呼ばれるプロバイダー機能は、 CNAME公開する代わりに、通常のアドレス応答を合成する場合があります。それらの動作は実装固有です。このような機能が任意の認証TXTデータを合成したり、標準ベースの委任として機能したりできるとは想定しないでください。使用側プロトコルが必要とする実際のレコード タイプの答えを調べてください。
依存関係を最後までたどります
参考文献: RFC 1034 §3.6.2, RFC 6376 §3.6.2.1.
プロバイダー対応の場合 DKIM エイリアス、 TXTルックアップ セレクタ プロバイダーのキーのエイリアスをたどることができます。エイリアスの所有者、各ターゲット、および端末のTXT結果を保持します。別のCNAMEを指すCNAME 、別の依存関係を追加します。ループまたはターゲットの欠如により、有用な最終応答が妨げられます。
この配置により、ターゲット オペレータはエイリアスを通じて解決されたデータに影響を与えることができます。これはゾーンの残りの部分を編集する権限ではありませんが、構成されたサービスにとっては重要です。認証されたプロバイダーのセットアップ フローで生成されたターゲットを確認し、サービスの所有権を記録し、計画された廃止を通じて古い依存関係を削除します。
合成セレクター検索を実行する
フィクスチャ A がパブリッシュする s1._domainkey.example.com 。 300 IN CNAME s1.keys.example.net 。 およびターミナルTXT値 s1.keys.example.net.。この DNS のみのテストでは、次を使用します。 "fixture=端末データ"、これは意図的に有効なDKIMキーではありません。予期されるTXT解像度はエイリアスに従い、そのマーカーを返します。これは検索の依存関係のみを証明し、暗号化認証は証明しません。
フィクスチャ B は、 TXTレコード で s1._domainkey.example.com. CNAMEを維持しながら。予期される構成の検証は共存の競合です。受信機の耐性をテストするために公開しないでください。フィクスチャ C は、ターゲットを未設定の名前に変更します。予期される結果は、使用可能な端末データがないことです。正確な応答は、その名前がTXTなしで存在するか、まったく存在しないかによって異なります。
分離されたテスト環境では、所有者にCNAMEとTXTをクエリし、ターゲットにTXTをクエリします。応答コード、権限、および別名チェーンを記録します。実際のDKIMテストの場合は、マーカーをプロバイダーが実際に生成した構成に置き換え、署名されたメッセージを個別に検証します。
ルーティングターゲットでのエイリアスを避ける
参考文献: RFC 2181 §10.3, RFC 5321 §5.1, RFC 8767 §4.
MXターゲットと NS ターゲットは、エイリアスではなく、アドレス レコードを使用してホストに名前を付ける必要があります。メールを検索するドメイン自体にSMTP解決ルールに基づくCNAMEを含めることはできますが、 MXデータに保存される Exchange ホスト名としてCNAME使用することは許可されません。トレースを読み取るときは、これら 2 つの位置を区別してください。
外部サービスを廃止する前に、別のアクティブなサービスがまだセレクターまたはターゲットを使用していないかどうかを確認してください。エイリアスを削除すると、キャッシュされたリーダーにはしばらく見えなくなる可能性があり、エイリアスの復元は即座にロールバックされません。 DNSと意図したサービスの動作の両方を確認した後、変更を閉じます。
証拠の範囲を明示的に保つ
端末フィクスチャ マーカーは、計画されたDNS依存関係のみを示しており、使用可能なDKIMキーは示していません。許容度をテストするために、意図的に競合する所有者を公開しないでください。このレビューでは、 CNAME展開、解決、暗号化の検証は実行されませんでした。