[ Przewodniki po platformie ]
Błędy konfiguracji Microsoft 365 DKIM : diagnozuj brakujące klucze i stan dzierżawy
Rozwiązuj awarie DKIM Microsoft 365 , oddzielając brakujące problemy DNS , konfiguracją dzierżawy i ścieżką komunikatów.
Przez zespół badawczy EmailAuth · 4 minuty czytania
[Kluczowe punkty]
- Unikaj spekulacyjnych zmian DNS
- Dokładnie porównaj wygenerowane wartości
- Zachowaj odporność na rotację
Na tej stronie
[Na wynos]
Rozwiązuj awarie DKIM Microsoft 365 , oddzielając brakujące problemy DNS , konfiguracją dzierżawy i ścieżką komunikatów.
[ Według roli ]
Co to oznacza dla Ciebie
Wybierz swoją rolę, aby uzyskać praktyczne dalsze kroki.
Administrator IT / poczty
Dokładnie porównaj wygenerowane wartości
Konfiguracja dzierżawy i DNS to różne stany.
Kolejne kroki
- Przeczytaj obie wartości SelectorCNAME.
- Po włączeniu przetestuj wiadomość zewnętrzną.
- Przed zamknięciem incydentu sprawdź rozdzielczość selektora awaryjnego.
CISO / SecOps
Zachowaj odporność na rotację
Usunięcie rekordu awaryjnego może spowodować opóźniony przestój.
Kolejne kroki
- Przejrzyj oba selektory w migracjach DNS .
- Zachowaj dowody zmian i wycofania.
- Zatwierdź podpisywanie zmian w ramach zarejestrowanego procesu zmian.
Założyciel / Nietechniczny
Unikaj spekulacyjnych zmian DNS
Widoczny błąd wymaga ograniczonej diagnozy.
Kolejne kroki
- Przypisz jednego właściciela zdarzenia.
- Wymagaj dowodów przed destrukcyjnymi kluczowymi zmianami.
- Informuj właścicieli firm o czasie, gdy uszkodzona warstwa jest izolowana.
[ Często zadawane pytania ]
Często zadawane pytania
Czy mogę wyprowadzić element docelowy CNAME z nazwy dzierżawy?
Zamiast tego użyj wygenerowanych wartości. Firma Microsoft obsługuje różne formaty docelowe, w tym nowszy format domeny niestandardowej.
Czy CnameMissing zawsze oznacza, że nie istnieje żaden rekord DNS ?
Nie. Rekord może należeć do niewłaściwego właściciela, mieć niewłaściwy typ lub wskazywać niewłaściwy cel.
Po co publikować oba selektory?
Alternatywny selektor obsługuje rotację; sprawdzenie tylko dzisiejszego aktywnego selektora pozostawia późniejsze niepowodzenie ukryte.
Czy wartość CNAME powinna zostać umieszczona w rekordzie TXT ?
Nie. Opublikuj typ rekordu i wygenerowany cel określony przez firmę Microsoft.
Co się stanie, jeśli podpisywanie jest włączone, ale DMARC nie powiedzie się?
Sprawdź dostarczoną domenę d= i wyrównanie, a następnie sprawdź wszelkie zmiany w dalszym komunikacie.
RFC 9989 : Uwierzytelnianie, raportowanie i zgodność wiadomości w oparciu o domenę ( DMARC )
Czy podpis onmicrosoft.com może zastąpić niestandardową konfigurację domeny?
Może uwierzytelnić tę domenę usługi bez dostosowania do niestandardowej domeny From.
Jak używać DKIM do poczty e-mail w domenie niestandardowej — Microsoft Defender dla Office 365 | Microsoft Dowiedz się RFC 9989 : Uwierzytelnianie, raportowanie i zgodność wiadomości w oparciu o domenę ( DMARC )
Czy powinienem regenerować klucz przy każdej awarii?
Nie. Przed wprowadzeniem kluczowej zmiany zdiagnozuj stan dzierżawy, DNS i ścieżkę wychodzącą.
Jakie dowody należą do eskalacji?
Dokładna domena, zredagowane dane wyjściowe konfiguracji, wiarygodne odpowiedzi DNS i zewnętrzne nagłówki ze znacznikami czasu.
[ Źródła ]
Źródła
- Jak używać DKIM do poczty e-mail w domenie niestandardowej — Microsoft Defender dla Office 365 | Microsoft Dowiedz się
Sekcje Składnia rekordów DKIM CNAME · Włącz podpisywanie DKIM · Sprawdź podpisywanie DKIM · Rozwiązywanie problemów
- RFC 6376 : Poczta zidentyfikowana kluczami domeny
Sekcje Podpisywanie i weryfikacja
- RFC 9989 : Uwierzytelnianie, raportowanie i zgodność wiadomości w oparciu o domenę ( DMARC )
Sekcje Dopasowanie identyfikatorów · Polityka i obsługa odbiornika
[ Słowniczek ]
Słowniczek
- Selektor
- Etykieta DKIM s= używana z domeną podpisującą do lokalizowania jej klucza publicznego.
- CNAME
- Alias DNS wskazujący jedną nazwę na drugą.
- Brak nazwy
- Stan podpisywania Microsoft 365 , który wymaga sprawdzenia oczekiwanych rekordów CNAME .
Pochodzenie przedsiębiorstwa
Dlaczego najlepsze instytucje finansowe i rządy wycofali swoje panele bezpieczeństwa poczty e-mail.
Tradycyjne platformy uwierzytelniania poczty e-mail oferują pulpit nawigacyjny i proszą inżynierów o wykonanie pracy. W środowiskach o dużej stawce ręczny nadzór oznacza opóźnione egzekwowanie, zmianę konfiguracji i niemonitorowane domeny-cienie.
EmailAuth to platforma agentowego pochodzenia wiadomości e-mail. Nasi agenci egzekwują p=reject, dostosuj zewnętrznych nadawców i przenieś swoje domeny do pełnych adresów RFC 9989 zgodność, nowy standard DMARC , z możliwością kontroli przez człowieka.
SaaS · Dedykowany najem · Lokalne rozwiązanie typu air-gapped · Szyfrowanie BYOK