Domain Names:DNSSEC の設定

構成フェーズ（管理者による操作）

1. Alibaba Cloud DNS などの権威 DNS プロバイダーで DNSSEC を有効にします。システムが鍵を生成し、すべてのレコードに署名したうえで、公開鍵の暗号的指紋である DS レコードを出力します。

2. DS レコードをドメインのレジストラーに提出します。レジストラーはこれをトップレベルドメイン（TLD）の公式レジストリ（例：.com）と同期します。

これは、公開鍵を上位の認証機関に登録することに相当します。

検証フェーズ（自動）

ユーザーがドメインにアクセスすると、DNSSEC 対応のリゾルバーは以下の処理を実行します。

1. .com TLD から登録済みの DS レコード（公式の指紋）を取得します。

2. ドメインの DNS プロバイダーから現在の公開鍵（DNSKEY）を取得します。

3. 公開鍵から指紋を計算し、DS レコードと照合します。一致する場合、リゾルバーはその応答を信頼します。一致しない場合は、応答を拒否します。

リゾルバーは検証済みの DNS データのみを返すため、DNS キャッシュポイズニングや中間者攻撃を防止できます。

ステップ 1：DS レコードの取得

• DNS サービスが Alibaba Cloud の場合：パブリックゾーンページで対象ドメインを見つけ、右側の DNSSEC の設定 をクリックします。DNSSEC を有効化した後、構成ページから DS レコードを取得してください。

  DNSSEC 設定項目 は、[操作] 列の ⋮（[詳細]）メニュー内にあります。

  構成ページには、キー タグ、アルゴリズム、ダイジェスト タイプ、ダイジェスト の 4 つの DS レコードフィールドが表示されます。これらをドメインのレジストラーに提出することで、DNSSEC が有効になります。DS レコードの詳細情報 を展開すると、公開鍵 および フラグ を確認できます。

• DNS サービスが Alibaba Cloud 以外の場合：DS レコードをご利用の DNS プロバイダーから取得してください。

ステップ 2：DS レコードの追加

1. [ドメインリスト] ページに移動し、対象のドメインを見つけて、[操作] を [管理] 列でクリックします。[DNSSEC の設定] ページで、[DS レコードの追加] をクリックします。

2. DNS プロバイダーから取得した DS データを入力し、[送信] をクリックします。

ステップ 3：構成の検証

• 推奨される検証ツール：DNSViz

• ご利用のドメインを入力して分析を実行します。すべての階層で DS レコードが表示され、赤色のエラーボックスがなければ、DNSSEC は正常に動作しています。

DS レコードの同期

ドメインを Alibaba Cloud に移管し、元のレジストラーで既に DNSSEC を構成済みの場合は、DNSSEC の設定ページで DS レコードの同期 をクリックしてください。これにより、既存の DNSSEC レコードが手動入力なしで Alibaba Cloud に同期されます。

DNSSEC の無効化

1. ドメインの DNSSEC の設定 ページで、DS レコードを削除します。

2. DNS プロバイダーのコンソールで、DNSSEC を無効にしてください。