署名付きゾーンの移動は、調整された信頼の移行です。レジストラは委任と DS の変更を制御し、新旧のDNSプロバイダーはゾーン データと署名キーを制御します。インポートが成功しても、検証リゾルバーがすべての中間状態を追跡できることは証明されません。
古い信頼パスのインベントリを作成する
参考文献: RFC 6781 §4.3.5.
通常のレコード、DNSKEY および DS データ、署名構成、関連する TTL、および権限アドレスをエクスポートします。誰が親 NS および DS データを変更できるかを記録します。新しいプロバイダーが既存のキーのインポート、調整された署名、または新しい独立したキー セットのみをサポートしているかどうかを確認します。承認された安全な手順および互換性のあるプロバイダーが要求する場合を除き、秘密署名キーをエクスポートしないでください。
移行方法を選択する前に、新しい権限がフル ゾーンに一貫してサービスを提供するかどうかをテストしてください。 MX 、セレクター、認証TXTおよび TLSA 記録。否定的な回答の動作と既存の委任を維持します。新たに健康になった DNSSEC チェーンは失われたメール記録を補償しません。
文書化された移行を選択してください
参考文献: RFC 6781 §4.1, RFC 6781 §4.3.5, RFC 8767 §4.
RFC 6781では、 DNSSECロールオーバーとオペレーター変更に関する考慮事項について説明しています。プロバイダーの機能に依存しない安全な普遍的なシーケンスはありません。調整された移行により、キャッシュされた DS、DNSKEY、および NS 情報が重複している間も、古い検証パスと新しい検証パスを使用可能な状態に保つことができます。プロバイダーが選択したアプローチをサポートできない場合は、タイミングの近道を考え出すのではなく、文書化された移行をプロバイダーと調整してください。
署名済みから署名なしから署名済みへの意図的な移行は、独自の依存関係の順序と待機期間を伴うセキュリティのダウングレードです。親 DS は、使用できない子キーを指し続けてはなりません。逆に、対応する署名付きの子に到達する前に新しい DS を追加すると、障害が発生する可能性があります。切り替える直前に TTL を下げても、古い TTL ですでにキャッシュされているレコードの寿命は短くなりません。 RFC 8767 、指定されたリフレッシュ失敗条件下で古いサービスを提供することが許可されています。 TTL の有効期限だけを、すべての依存パスが古いデータをリタイアした証拠として扱わないでください。
互換性のないキャッシュされた状態をリハーサルする
参考文献: RFC 6781 §4.3.5, RFC 4035 §5.
使い捨ての親サービスと 2 つの権限のある子サービスを構築します。古い DS/キー A と新しい DS/キー B、および固定MXおよび TLSA テスト データを定義します。少なくとも 4 つのリゾルバー状態をテストします。古い信頼データを持つ古い委任、互換性のある信頼データを持つ新しい委任、新しい専用キーを持つ古いキャッシュされた DS、古い専用キーを持つ新しいキャッシュされた DS です。最後の 2 つは意図的な非互換性のケースであり、許容される遷移状態ではありません。
各状態について、親 DS、子の DNSKEY および RRSIG データ、リゾルバ キャッシュ セットアップ、クロック、正確なクエリ、およびバリデータ トレースを保持します。選択したオーバーラップの前、中、後に繰り返します。メールエンドポイントが変更された場合は、証明書と TLSA の関連付けを個別に確認してください。これらは、リゾルバーベースの移行テストの要件です。以下に保持されているオフライン暗号化マトリックスは、署名付きデータの互換性のみをカバーしており、ライブ マイグレーションはカバーしていません。
ロールバックを信頼操作にする
参考文献: RFC 6781 §4.3.5, RFC 4035 §5.
NS を元に戻しても、キャッシュされた DS または DNSKEY 情報はフラッシュされません。ロールバック計画では、どのキーが引き続き使用可能であり、どのキャッシュされた組み合わせが引き続き検証されるかを指定する必要があります。都合の良い暦日ではなく監視された終了基準を使用して、承認された重複に対して古いサービスと必要な署名資料を利用できるようにします。
カットオーバー後、すべての権限のあるサーバー、複数の関連リゾルバー パス、および代表的な電子メール テストを比較します。予想されるキャッシュの移行後に検証を確認し、変更プロセスを通じて古いインフラストラクチャを廃止します。次のオペレーターが結果として得られる信頼パスを説明できるように、正確な最終 DS と委任の証拠を保存してください。
観察された合成移動マトリックス
参考文献: RFC 4035 §5.
2026 年 11 月 7 日に維持された暗号ラボでは、検査はされましたが、このレビューのために再実行はされず、7 つの署名データ状態をテストしました。古い DS/キー A、キー A とオーバーラップする A/B DS、キー B とオーバーラップする DS、および最終 DS/キー B はすべて検証されました。新しい専用キー B を持つ古い専用 DS は失敗しました。DS を B のみに置き換えた後、キー A へのロールバックも失敗しました。再度検証されたマッチング A マテリアルを復元します。これらは、シミュレートされたパス ラベルではなく、生成されたテスト キーを使用した実際の署名と DS チェックです。これらは、互換性のないキャッシュ データの組み合わせを示していますが、リゾルバー キャッシュ、プロバイダー API、または経過した TTL 遷移をエミュレートしません。プロバイダーのライブ移行、タイミング、ロールバックの実行は保留中のままです。