ビジネス ユニットのドメインを委任すると、運用上の遅延を減らすことができますが、委任はマーケティング部門がサブドメインを所有しているという宣言よりも限定的かつ明確にする必要があります。完全なDNSゾーン、単一の DNS ゾーン DKIMセレクター とアプリケーション構成は異なる権限境界です。ローカル チームが変更できる内容、ビジネス利用を誰が承認するか、中央チームが引き続き監視できる内容を定義します。
委任されたオブジェクトを特定する
DNS所有者名、レコード タイプ、委任ターゲット、サービス アカウント、およびオペレーターを記録します。子ゾーンの NS 委任と、子ゾーンの NS 委任を区別します。 CNAME セレクターまたはサービス名で使用されます。ゾーン オペレーターは委任されたゾーン内でレコードを公開できますが、セレクター関係は特定のキー ルックアップ パスに関係します。 RFC 1034ではゾーン委任について説明し、 RFC 6376ではDKIMセレクターとキー ルックアップについて説明します。 DNS委任; DKIM.
技術的能力から事業許可を推測しないでください。許可されたサービスの目的、ドメイン、クラスの変更、および中央の承認が必要なアクションを文書化します。ローカル チームは、無関係な送信者を作成したりポリシーを弱めたりする権限を持たずにキャンペーン プラットフォームを運営する場合があります。アクセス許可を契約と一致させ、書面による境界だけに依存するのではなく、実際の権限を確認してください。
中央とローカルの作業を分割する
実行可能な取り決めにより、承認されたサービスの使用とベンダーのライフサイクルについてはローカル ビジネス オーナーに責任が与えられ、スコープ設定についてはローカル オペレーターに責任が、中央チームには可視性、共有ドメインのリスクとエスカレーションについて責任が与えられます。これらの割り当てを実際のコントロールに合わせて調整します。中央の依存関係がサイレント停止のボトルネックにならないように、代理と緊急ルートに名前を付けます。
目的、所有者、重要度、From ID、エンベロープ ID、署名ドメイン、セレクター、最後のテストと承認を含むサービス記録を維持します。正確な差分と検証アーティファクトを生成するには、ローカルの変更が必要です。 NIST AC-6 および CM-5 は、最小限の特権と制限された変更アクセスをサポートします。ここでの中央と地方の役割の分割は、提案されたガバナンス パターンであり、必須の部門設計ではありません。 NISTカタログ.
ローカル署名とは独立して可視性をテストする
ローカル チームが 1 つの委任されたDKIMセレクターの背後にあるプロバイダーを変更し、有効な署名を持つ承認されたサンプルを取得したとします。中央インベントリは依然として以前のプロバイダーを指定しており、変更レコードを受け取りません。ローカル署名の証拠は中央の認識を確立しないため、サービスが正常に送信された場合でも可視性のギャップが残ります。
別のゾーンの委任には、より広範なレビューが必要です。ローカル オペレータが管理する権限のあるレコード、さらに委任された子、および中央チームが引き続き監視する必要がある依存サービスを特定します。狭いセレクター チェックリストをコピーして、ゾーン全体をカバーしていると想定しないでください。これらは仮想的なガバナンス ケースであり、 DNSオブジェクトが検出されたり、テストが実行されたものではありません。
承認された演習の場合は、変更された正確なオブジェクト、サービス マッピング、承認、および中央チームが変更を受け取り理解したという証拠を保持します。モニタリング アクセスとDNS書き込みアクセスは、依然として別個の機能です。
安全な出口を定義する
委任契約では、サービスがどのように移行または廃止されるか、誰がレコードを削除するか、キーと資格情報がどのように処理されるか、ローカル所有者が去った場合に何が起こるかを説明する必要があります。アクセスを取り消す前に、共有依存関係のインベントリを作成します。中央制御を復元する必要がある場合は、委任を削除してすべてのレコードが別の場所に再表示されることを期待するのではなく、ゾーンまたはサービスの移行を明示的に計画します。
組織再編、ベンダーの交換、ドメイン使用の変更後の取り決めを検討します。例外を範囲、所有者、レビュー日とともに記録します。目標は、あらゆる小さな操作を一元化することではありません。それは、委任された機能、ビジネスの承認、および監視が接続されたままであることを保証するためです。設計が成功すると、権限の境界を検査して回復できるようにしながら、ローカル チームは迅速に行動できるようになります。
書かれた境界を有効なアクセスに一致させる
名前付きのDNSオブジェクトとサービスのアクセス許可を、オペレーターが実際に変更できるものと比較します。アカウントが無関係なレコードを変更できる場合、1 つのキャンペーンに限定された契約は強制されません。承認されたプロセスを通じて適切な範囲のアクセス変更を要求し、中央の可視性を個別に保持します。