DNSSEC とは
DNS セキュリティ拡張機能 (DNSSEC) は、DNS 偽装やキャッシュ汚染などの攻撃を防止するための仕組みです。DNS 応答メッセージの真正性および完全性を検証するためにデジタル署名を活用し、ユーザーが悪意のあるサイトや予期しないアドレスに誤って誘導されるのを防ぎます。これにより、インターネットに対する信頼性が向上し、お客様のコアビジネスも保護されます。
DNSSEC を使用する際の注意事項
-
DNSSEC は、サブスクリプションプランに関係なく、有料の Alibaba Cloud DNS ユーザー全員が利用可能です。
-
サブドメインに対して独立した DNS ホスティングを使用している場合、DNSSEC はサポートされません。
-
セカンダリ DNS 機能を使用している場合、DNSSEC はサポートされません。
-
ドメインに ALIAS レコード 型の DNS レコードが設定されている場合、DNSSEC はサポートされません。
-
有料の DNS サブスクリプションの有効期限が切れて今後も利用しない場合は、まずドメイン指定業者で DS レコードを削除し、その後 Alibaba Cloud DNS コンソールで DNSSEC を無効化して、名前解決障害を回避してください。
-
DNSSEC が有効な状態でドメインをアカウント間で移転する場合（例：アカウント A からアカウント B へ）は、まずドメイン指定業者で DS レコードを削除し、その後 Alibaba Cloud DNS コンソールで DNSSEC を無効化して、名前解決障害を回避してください。
-
DNSSEC が有効な状態でドメインの DNS 解決をアカウント間で移管する場合（例：アカウント A からアカウント B へ）は、まずドメイン指定業者で DS レコードを削除し、その後 Alibaba Cloud DNS コンソールで DNSSEC を無効化して、名前解決障害を回避してください。
-
DNSSEC が有効な状態でドメインをデタッチする場合は、まずドメイン指定業者で DS レコードを削除し、その後 Alibaba Cloud DNS コンソールで DNSSEC を無効化して、名前解決障害を回避してください。
-
DNSSEC が有効になるには、DNS ホスティングプロバイダーとドメイン指定業者の両方で対応が必要です。Alibaba Cloud DNS および Alibaba Cloud のドメイン登録サービスは、ともに DNSSEC をサポートしています。
DNSSEC の有効化手順
-
Alibaba Cloud DNS - Public Authoritative Zone ページにログインします。DNSSEC を有効化するドメインを選択し、[詳細] ＞ DNSSEC の設定 を選択します。
-
DNSSEC 設定ページで DNSSEC を有効化します。
-
Key Tag、Algorithm、Digest Type、Digest などの DS レコード情報をコピーし、ドメイン指定業者で DS レコードを追加します。
-
ドメイン指定業者として Alibaba Cloud をご利用の場合、「DNSSEC の設定」をご参照ください。
DNSSEC の有効化確認方法
テストツール を使用して確認できます。
DNSSEC が有効かどうかの確認
たとえば dns-example.com の場合、ハイライト表示された領域に DS レコードが表示されていない場合は、DNSSEC は有効になっていません。
DNSSEC がアクティブな状態
テストページ上で各レベルに DS が表示され、赤色のエラー領域が一切表示されていない場合、DS は有効かつアクティブです。
DNSSEC がアクティブでない状態
テストページに赤色のエラー領域が表示された場合、DNSSEC はアクティブではありません。トラブルシューティングのためにサポートチケットを起票してください。
DNSSEC の無効化手順
ステップ 1：ドメイン指定業者で DS レコードを削除する
ドメインを Alibaba Cloud で登録している場合：
-
ドメイン コンソールにログインします。
-
ドメイン一覧ページで、対象ドメインの [操作] 列から **[管理]** をクリックします。
-
左側のナビゲーションウィンドウで、**[DNS 管理]** の下にある **[DNSSEC 設定]** をクリックし、DS レコード横の **[削除]** をクリックします。
ステップ 2：Alibaba Cloud DNS コンソールで DNSSEC を無効化する
-
Alibaba Cloud DNS - Public Authoritative Zone ページに移動します。DNSSEC を無効化するドメインを選択し、[詳細] ＞ DNSSEC の設定 を選択します。
-
DNSSEC 設定ページで DNSSEC を無効化します。
警告必ずステップ 1 を完了した後にステップ 2 を実行してください。そうでないと、ドメインの名前解決が失敗する可能性があります。
よくある質問
DNSSEC の検証で黄色の警告が表示されても、ドメインに影響はありますか？
黄色の警告は、ドメインの DNSSEC 機能に影響を与えません。Alibaba Cloud の権威 DNS はインテリジェントな名前解決を採用しており、権威 DNS サーバが返す IP アドレスとグルーアドレスレコードとの間にわずかな差異が生じることは正常です。