[ DNSとドメイン ]

DNS NS レコードとサブドメインの委任

電子メール認証DNSを委任する前に、正しいゾーン境界を計画し、子権限を準備し、紹介チェーンを検証します。

EmailAuth研究チームによる · 8 分で読めます

【ポイント】

  • NS 委任は、1 つのTXT値だけでなく、子ゾーンの権限を譲渡します。
  • 親の参照を変更する前に、必要なすべての子レコードを準備します。
  • 委任チェーン、各サーバー、および影響を受ける送信者のメッセージを確認します。
このページでは
  1. 重要なポイント
  2. 取り除く
  3. 役割別
  4. よくある質問
  5. 情報源
  6. 用語集
  7. 関連ガイド

[ 取り除く ]

目的の名前空間のみを委任し、すべての依存レコードを保持し、権威DNSと受信メッセージの証拠の両方を必要とします。

【役割別】

これがあなたにとって何を意味するか

実際の次のステップに向けて、自分の役割を選択してください。

IT / メール管理者

カットの下のすべてのセレクターをマップする

委任は複数の送信者に影響を与える可能性があります。

次のステップ

  1. 提案された子境界より下のすべてのレコードを一覧表示します。
  2. 各子サーバーと親の参照を確認します。
  3. 影響を受けるすべての署名ワークフローを再テストします。

CISO / SecOps

委任されている権限を確認する

子オペレーターは、認証名前空間の定義された部分を制御します。

次のステップ

  1. サポートされている最も狭い範囲を承認します。
  2. DNSSEC所有者と DS および署名の変更を調整します。
  3. 回復権限とアクセス所有権を保持します。

創業者 / 非技術系

すべての送信依存関係を保護する

機能するニュースレターのテストでは、壊れた請求セレクターが隠れる可能性があります。

次のステップ

  1. 委任されたブランチの下でビジネスクリティカルな送信者を特定します。
  2. 変更所有者と復旧計画を承認します。
  3. これらのワークフロー全体で配信の受け入れを要求します。

[ よくある質問 ]

よくある質問

NS レコードには IP アドレスが含まれていますか?

いいえ。NS RDATA はネームサーバーのホスト名を識別します。アドレス レコードと必要な接着剤は、そのサーバーに到達する際の別個の部分です。

RFC1035

サブドメイン委任はどこで公開されていますか?

親ゾーンは子 NS セットを公開します。子には apex NS データもあります。子のみを編集しても、親からのパブリック参照は確立されません。

RFC9499

_domainkeyを委任することは、1 つのセレクターを委任することと同じですか?

いいえ_domainkeyサブツリーには、複数の送信者のセレクターを含めることができます。転送された名前空間全体をインベントリし、実際に意図されたスコープのみを使用します。

RFC1034

要求されたCNAME NS レコードに置き換えることはできますか?

同等の代替としてではありません。エイリアスと子ゾーンの委任には、 DNS意味と運用要件が異なります。サービスでサポートされている方法を使用してください。

RFC1034

接着剤が必要になるのはどのような場合ですか?

ドメイン内ネームサーバー名は、独自のサーバーを見つけるために委任されたゾーンに依存関係を作成する可能性があります。適切な親側アドレス情報により、その依存関係が解消されます。実際のトポロジを確認します。

RFC9499

親内の古いセレクター レコードが役に立たなくなったのはなぜですか?

子の委任に続いて解決が行われると、そのカット以下の通常のデータは子によって提供されなければなりません。古いパネルに残された記録は、有効な答えの証拠ではありません。

RFC1034

委任が失敗した場合、DS レコードを削除する必要がありますか?

説明のない回避策として削除しないでください。 DNSSEC所有者に、親 DS と子の署名構成を確認して、トラスト チェーンの移行を承認してもらいます。

RFC4035

TXTルックアップが成功すると、 DKIMパスしたことが証明されますか?

いいえ。署名者は対応するキーを使用する必要があり、受信したメッセージを検証する必要があります。影響を受ける各送信者が実際に使用するセレクターをテストします。

RFC6376

[ 情報源 ]

情報源

  1. RFC9499

    セクション §6. DNSサーバーとクライアント · §7.ゾーン

  2. RFC4035

    セクション §2.4 ゾーンに DS RR を含める · §5。 DNS応答の認証

  3. RFC1034

    セクション §4.2.1 技術的考慮事項 · §4.2.2 管理上の考慮事項 · §4.3.2 アルゴリズム

  4. RFC2308

    セクション §2.否定的な反応 · §5。否定的な回答のキャッシュ

  5. RFC1035

    セクション §3.3.11 NS RDATA フォーマット · §3.3.13 SOA RDATA フォーマット · §4.1 メッセージフォーマット

  6. RFC6376

    セクション §3.5 DKIM-Signatureヘッダー フィールド · §3.6 鍵の管理と表現 · §6。検証者のアクション

[ 用語集 ]

用語集

ゾーンカット
親ゾーンが保持する権限と委任された子ゾーンとの間の境界。

RFC9499

のり
解決が委任ゾーンに依存する場合に、ネームサーバーにアクセスできるようにするために提供されるアドレス レコード。

RFC9499

子頂点
独自の SOA および NS データが存在する、委任された子ゾーンの最上位の名前。

RFC1035

紹介
別の権威サーバー セットに解決を指示するDNS応答。

RFC9499

企業の来歴

一流の金融機関と政府が選ばれる理由 電子メール セキュリティ ダッシュボードを廃止しました。

従来の電子メール認証プラットフォームはダッシュボードを販売し、エンジニアに作業を依頼します。一か八かの環境では、手動による監視は適用の遅れ、構成のドリフト、および監視されていないシャドウ ドメインを意味します。

EmailAuthは、エージェントの電子メール来歴プラットフォームです。 当社のエージェントが執行します p=reject、サードパーティの送信者を調整し、ドメインを完全に移動します。 RFC 9989 新しいDMARC標準に準拠し、人間による監査機能を備えています。

政府 大企業 ティア１金融機関

SaaS · 専用テナント · エアギャップオンプレミス · BYOK 暗号化

ナレッジベース