アン SPF dependency register answers a practical question: if this DNS value changes or this provider disappears, which business mail is affected and who can decide what to do?トップレベルのコピー TXTレコード その質問に単独で答えることはできません。依存関係はネストされ、組織の外部で制御され、特定の入力に対してのみ到達する場合があります。
ポリシーとその利用者をモデル化する
使用中のSMTPドメインごとに、正確なDNS所有者名、現在のレコード、キャプチャ時刻、ゾーン所有者、および変更プロセスを含む 1 つのポリシー エントリを作成します。その ID を使用するアプリケーションとビジネス ユニットを接続します。 From ドメインを別のフィールドに表示しておくと、 SPFルックアップ ID と間違われることがなくなります。親ドメインの SPFレコード 子に自動的に継承されません。 RFC 7208 §2.4, RFC 7208 §4.
インクルード、リダイレクト、その他の DNS に依存する用語ごとにエッジを追加し、ターゲットとその制御者を識別します。 Include and redirect are not interchangeable: an include matches when its recursive check returns pass, while redirect delegates evaluation when the current policy reaches that modifier's conditions.スナップショット内の用語の順序と修飾子を保持します。 RFC 7208 §5.2, RFC 7208 §6.1.
行動するために十分な証拠を保管する
推奨される登録フィールドは次のとおりです。 ポリシー ドメイン。ビジネスサービス。ビジネスオーナー。技術所有者。プロバイダーアカウントの参照。依存関係のターゲット。許可の理由。代表的な送信 IP。通常のエンベロープ ドメインとフェイルオーバー エンベロープ ドメイン。スナップショットの日付。評価されたパスの結果。次の見直しを提案。そして退職条件。資格情報と秘密キーを登録に入れないでください。内部アカウントの参照を適切なレビュー担当者に制限します。
動的マクロの場合は、式と代表的な展開値の両方を記録します。入力 ID、IP、および時間がない平坦化された依存関係図は、完全な評価トレースではありません。 SPF 's DNS-query-causing term limit applies during evaluation, including recursive checks, so one path can reach a problem that another path avoids. RFC 7208 §4.6.4, RFC 7208 §7.
レジスターをチーム全体で活用できるようにする
例示的な例: 調達と顧客サポートはどちらも、同じ組織ポリシーを通じて_spf.service.example.netに依存しています。調達側は契約終了を計画しており、削除を要求している。依存関係レジスタは、共有インクルードが削除される前にサポート サービスを公開します。この決定は、未確認のDNSクリーンアップではなく、サービスの廃止または分離になります。
各消費者に対するビジネス責任を維持しながら、共有の変更を調整するために 1 人の技術ポリシー所有者を割り当てます。所有者を追加して証拠をテストするためのオンボーディング、依存関係を更新するための移行、残りのコンシューマーを解決するためのオフボーディングが必要です。これは運用上の推奨事項であり、追加のSPFプロトコル要件ではありません。
スコアを追うのではなく変更を確認する
スナップショットの差分を取得して、新しいターゲット、削除された権限、拡大された範囲、および変更されたルックアップ パスを検出します。コンテキストの変化を調査します。プロバイダーは合法的にインフラストラクチャをローテーションする可能性があります。現在のファーストパーティの指示と受信メッセージの証拠を使用して、影響の大きい変更を検証します。古い状態と決定をアーカイブし、 DNS変更が成功した後にレジスタを更新します。
A useful completion test is a tabletop exercise: choose one dependency and identify every affected service, the decision owner, the test route and the rollback path.チームがそれを行うことができない場合、現在のすべてのSPFチェックに合格したとしても、レジスタには依然としてギャップが残ります。
具体的な意思決定記録を使用する
共有プロバイダーの例では、依存関係に 2 つのコンシューマー エントリ (調達とサポート) を指定し、所有者と終了条件を分けます。サポートが残っている間に調達が終了した場合、共通のポジティブ インクルードを削除することはまだ正当化されません。分離を提案する前に、現在のポリシー、用語修飾子、代表的な IP/エンベロープ入力、およびネストされたターゲットのスナップショットをキャプチャします。この例は、完了した在庫監査ではなく、決定を示しています。